Abmahnungen entstehen häufig durch fehlende Pflichtangaben, unwirksame Cookie-Banner oder fehlerhafte Widerrufsbelehrungen. Wer die zugrunde liegenden gesetzlichen Pflichten erfüllt, senkt das Abmahnrisiko spürbar.

Klagebefugt sind nur Verbände, die in der Liste beim Bundesamt für Justiz eingetragen sind. Bekanntestes Beispiel: die Wettbewerbszentrale.

Von Google automatisch erzeugte KI-Zusammenfassung oberhalb der klassischen Suchergebnisse. Sie fasst Inhalte mehrerer Quellen zusammen; bei fehlerhaften oder rechtsverletzenden Aussagen stellt sich die Frage der Verantwortlichkeit.

Verfahrensrechtlicher Anspruch, in die Akten einer Behörde Einsicht zu nehmen, etwa nach der Abgabenordnung (AO) oder der Finanzgerichtsordnung (FGO). Sie ist vom datenschutzrechtlichen Auskunftsanspruch nach Art. 15 DSGVO zu unterscheiden: Beide Ansprüche haben unterschiedliche Voraussetzungen und eine unterschiedliche Reichweite.

Definitionsbegriff des DSA für die Berechnung der VLOP-Schwelle. Nach der Auslegung des EuG zählt als aktiver Nutzer jede Person, die den verbreiteten Informationen ausgesetzt ist — unabhängig davon, ob eine Transaktion stattfindet. Die genaue Reichweite war entscheidend für Einstufungsstreitigkeiten wie das Zalando-Verfahren vor dem EuG.

Gemeint sind Schlagworte wie „umweltfreundlich“, „grün“ oder „klimafreundlich“ ohne Erklärung. Erwägungsgrund 9 der Richtlinie (EU) 2024/825 nennt diese als Beispiele. Wer erklärt, was genau gemeint ist (etwa „100 % der Energie stammen aus erneuerbaren Quellen“), macht eine spezifische und keine allgemeine Aussage.

Nachfolgeregelung des früheren Paragraf 5 TMG - seit der TMG-Reform 2024 in Paragraf 5 DDG geregelt. Inhaltlich nahezu unverändert: Name, Anschrift, Kontaktmöglichkeit, ggf. Handelsregister und Aufsichtsbehörde.

Nur mit einer solchen Grundlage darf ein Unternehmen gegenüber Verbrauchern allgemeine Umweltaussagen wie „umweltfreundlich“ machen (Anhang Nr. 4a). Erwägungsgrund 10 der Richtlinie (EU) 2024/825 nennt als Beispiel „energieeffizient“ auf Grundlage der Klasse A der Energieverbrauchskennzeichnung.

Feststellung der EU-Kommission nach Art. 45 DSGVO, dass ein Drittland ein angemessenes Datenschutzniveau bietet, sodass Datentransfers ohne zusätzliche Garantien zulässig sind.

Echt anonymisierte Daten fallen nicht mehr unter die DSGVO. Die Hürde dafür liegt hoch - eine bloße Umbenennung reicht nicht, wenn die Person über andere Wege wieder erkennbar bleibt.

Ein Überwachungs- und Analysedienst von Microsoft Azure, der Laufzeit-Telemetrie einer Anwendung sammelt (Anfragen, Fehler, Antwortzeiten). Ist er falsch konfiguriert oder öffentlich erreichbar, können interne technische Details nach außen sichtbar werden.

Ein Cookie, das Microsoft-Azure-Web-Dienste setzen, um einen Besucher für die Dauer einer Sitzung an denselben Server zu binden (Session-Affinität). Sein Vorhandensein verrät nach außen, dass die Anwendung auf Azure App Service betrieben wird.

Ein Microsoft-Framework zur Entwicklung von Webseiten und Webanwendungen, Teil der .NET-Plattform. Es läuft auf dem Server und erzeugt die Seiten, die der Besucher im Browser sieht.

Ein Sammelbegriff für Schutzfunktionen gegen komplexe, gezielte Angriffe, etwa die Sandbox-Analyse von Anhängen oder das Umschreiben von Links (URL-Rewriting) zur Laufzeitprüfung.

Das Kernstück des Transformers. Der Mechanismus gewichtet, welche Wörter in einem Text füreinander wichtig sind, und erlaubt dem Modell so, Zusammenhänge über den ganzen Satz hinweg zu erfassen.

Im Marketing-Tracking die Zuordnung einer Handlung wie eines Kaufs zu vorausgegangenen Werbekontakten, um den Beitrag einzelner Kanäle zu messen. Dazu wird das Nutzerverhalten über mehrere Schritte hinweg verknüpft.

Eine systematische Prüfung einer Webseite auf technische Schwachstellen, Datenschutz- und Rechts-Konformität.

In Deutschland gibt es keine einheitliche Bundesbehörde - zuständig ist in der Regel die Landesdatenschutzbehörde des Bundeslandes, in dem das Unternehmen seinen Sitz hat.

Die Beschwerde ist formfrei und kostenlos möglich; die Aufsichtsbehörde ist verpflichtet, den Sachverhalt zu prüfen und den Beschwerdeführer über den Fortgang und das Ergebnis zu informieren.

Typische Auftragsverarbeiter sind Hosting-Anbieter, E-Mail-Marketing-Dienstleister oder Cloud-Speicheranbieter - die Zusammenarbeit muss über einen Auftragsverarbeitungsvertrag abgesichert sein.

Die Beauftragung eines externen Dienstleisters (z. B. Hoster, Cloud-Anbieter) mit der Verarbeitung personenbezogener Daten im Auftrag des Webseitenbetreibers.

Ein AVV ist Pflicht bei jedem externen Dienstleister mit Zugriff auf personenbezogene Daten (z. B. Hosting, E-Mail-Marketing, Support-Tools) - ohne AVV liegt ein Datenschutzverstoß vor.

Grundsatz beim DSGVO-Schadensersatz nach Art. 82: Der Ersatz soll den erlittenen Nachteil ausgleichen, nicht bestrafen oder abschrecken. Die Höhe bemisst sich am konkreten Schaden, nicht an der Schwere des Verstoßes (EuGH, C-300/21).

Das Recht einer betroffenen Person zu erfahren, ob und welche personenbezogenen Daten über sie verarbeitet werden.

Besonders kritisch bei Geräten, die aus dem Internet erreichbar sind - etwa VPN- und Fernzugriffs-Appliances. Der Authentication-Bypass ist eine Unterform der Schwachstelle und tritt bei Webseiten häufig im Zusammenhang mit Plugin-Schwachstellen auf, wenn eine Erweiterung ihre eigene Anmelde-Prüfung aushöhlt.

Im DSGVO-Schadensersatzrecht bezeichnet der fehlende Automatismus den Grundsatz, dass ein Verstoß allein noch keinen Zahlungsanspruch auslöst. Erforderlich ist zusätzlich ein konkreter, nachweisbarer Schaden (EuGH, C-300/21, Österreichische Post).

Eine verbreitete Testengine zur automatisierten Prüfung von Webseiten auf Barrierefreiheit. Sie deckt einen Teil der WCAG-Kriterien maschinell ab, ersetzt aber keine manuelle Prüfung.

US-Aktenzeichen (Docket Number) des Verfahrens Trump v. Slaughter vor dem US Supreme Court, entschieden am 29.06.2026.

Cloud-Bausteine der Microsoft-Azure-Plattform: App Service betreibt Web-Anwendungen, Front Door verteilt und schützt Zugriffe als vorgelagertes Netzwerk, Blob Storage speichert Dateien und Objekte. Fehlkonfigurationen – etwa ein offener Blob-Speicher – können Daten ungewollt öffentlich zugänglich machen.

Geschäftsbeziehungen zwischen Unternehmen - Gegenstück zu B2C (Geschäfte mit privaten Verbrauchern). Für reine B2B-Shops gelten teils andere Verbraucherschutzpflichten.

Geschäftsbeziehungen zwischen einem Unternehmen und privaten Verbrauchern - Gegenstück zu B2B (Geschäfte zwischen Unternehmen).

Das zentrale Lernverfahren künstlicher neuronaler Netze. Der Fehler am Ausgang wird rückwärts durchs Netz zurückgerechnet, um alle Gewichte Schritt für Schritt zu verbessern.

Eine Sicherungskopie von Daten oder einer Webseite, mit der sich der Zustand nach einem Ausfall, Angriff oder Fehler wiederherstellen lässt.

Das Prinzip schützt gleichzeitig gegen Hardware-Defekte, lokale Katastrophen und Ransomware, die vernetzte Backups mitverschlüsseln kann - eine rein lokale Sicherung erfüllt keinen dieser Schutzzwecke zuverlässig.

Höchstes deutsches Arbeitsgericht mit Sitz in Erfurt. Es entscheidet letztinstanzlich über arbeitsrechtliche Streitfälle, darunter auch Ansprüche auf Schadensersatz nach der DSGVO im Beschäftigungskontext.

Eine gedachte Mindestgrenze, ab der ein Schaden erst als ersatzfähig gilt. Für den DSGVO-Schadensersatz besteht eine solche Schwelle nicht: Auch ein geringer, aber tatsächlich eingetretener Schaden ist zu ersetzen.

Die Gestaltung einer Webseite so, dass sie auch von Menschen mit Einschränkungen (z. B. Seh- oder Motorik-Einschränkungen) uneingeschränkt nutzbar ist.

Die unabhängige Datenschutz-Aufsichtsbehörde des Landes Berlin. Sie überwacht die Einhaltung der DSGVO in Berlin, bearbeitet Beschwerden, führt Prüfungen durch und kann Bußgelder verhängen; ihr jährlicher Tätigkeitsbericht dokumentiert typische Verstöße und Prüf-Schwerpunkte.

Rechtsmittel gegen ein erstinstanzliches Urteil. Das übergeordnete Gericht (etwa das Oberlandesgericht) überprüft das Urteil in tatsächlicher und rechtlicher Hinsicht und kann es abändern oder bestätigen.

Für diese Datenkategorien reicht ein einfaches berechtigtes Interesse als Rechtsgrundlage nicht aus - es braucht eine der ausdrücklich aufgezählten Ausnahmen, etwa eine ausdrückliche Einwilligung oder eine gesetzliche Erlaubnis.

Gewählte Interessenvertretung der Beschäftigten in einem Betrieb. Kann etwa mit der Einsicht in Postfächer ausgeschiedener Mitarbeitender betraut werden, um schutzwürdige Interessen zu wahren.

Schriftliche Vereinbarung zwischen Arbeitgeber und Betriebs- oder Personalrat. Sie kann unter anderem regeln, ob und in welchem Umfang die private Nutzung dienstlicher E-Mail-Adressen erlaubt ist.

Die natürliche Person, deren personenbezogene Daten verarbeitet werden und die die Datenschutzrechte (z. B. Auskunft) geltend machen kann.

Unabhängige oberste Datenschutz-Aufsichtsbehörde des Bundes. Sie überwacht die Einhaltung des Datenschutzrechts bei Bundesbehörden sowie bei Post- und Telekommunikationsunternehmen und kann Beschwerden nachgehen.

Oberstes deutsches Gericht für Steuer- und Zollangelegenheiten mit Sitz in München. Als höchste Instanz der Finanzgerichtsbarkeit legt es das Steuerrecht verbindlich aus und prägt damit auch die Reichweite von Auskunfts- und Einsichtsrechten im Besteuerungsverfahren.

Höchstes deutsches Gericht in Zivil- und Strafsachen mit Sitz in Karlsruhe. Seine Entscheidungen sind für die Auslegung von Gesetzen richtungsweisend, auch bei Fragen des Wettbewerbs- und Datenschutzrechts.

Selbst ein bezahlt lizenziertes Stockfoto darf nur im Rahmen der konkret erworbenen Lizenzbedingungen genutzt werden (z. B. Nutzungsdauer, Anzahl Seitenaufrufe, redaktionell vs. kommerziell) - eine Überschreitung ist ebenfalls eine Rechtsverletzung.

BCR sind vor allem für internationale Konzerne relevant, die regelmäßig personenbezogene Daten zwischen Konzerngesellschaften in verschiedenen Ländern austauschen und dafür keine Einzelfall-Garantien pro Transfer verhandeln wollen.

Ein Web-Framework von Microsoft, mit dem interaktive Web-Oberflächen in der Programmiersprache C# statt in JavaScript entwickelt werden. Es läuft entweder direkt im Browser (WebAssembly) oder serverseitig über eine dauerhafte Verbindung.

Eine verbindliche Anweisung der US-Cybersicherheitsbehörde CISA an US-Bundesbehörden, bestimmte Sicherheitsmaßnahmen innerhalb einer festgelegten Frist umzusetzen.

Brute-Force-Angriffe laufen meist über Skripte, die in kurzer Zeit tausende Passwort-Kombinationen gegen ein Login-Formular testen. Ohne Schutzmaßnahmen wie Rate-Limiting, Sperrfristen oder Mehr-Faktor-Authentifizierung kann ein Angreifer so früher oder später ein schwaches Passwort erraten und sich Zugriff auf Admin-Bereiche oder Kundendaten verschaffen.

Bundesamt für Sicherheit in der Informationstechnik - die zentrale deutsche Cybersicherheitsbehörde; u.a. Registrierungs- und Meldestelle im Rahmen von NIS2.

Ein sauber definiertes Bug-Bounty-Programm mit klaren Regeln schafft Rechtssicherheit für Melder und Unternehmen gleichermaßen - ohne klare Regeln bewegen sich Sicherheitsforscher rechtlich in einer Grauzone.

BEC-Angriffe nutzen oft kompromittierte oder gefälschte E-Mail-Konten und gezielte Recherche zu Unternehmensstrukturen - technischer Schutz allein hilft wenig, entscheidend sind klare interne Freigabeprozesse für Zahlungen.

Anders als ein Incident-Response-Plan, der die akute Reaktion auf einen Vorfall regelt, geht es hier um die längerfristige Aufrechterhaltung des Geschäftsbetriebs - beide Pläne ergänzen sich.

Fehlt die korrekte Beschriftung, kommt gar kein wirksamer Vertrag zustande - der Kunde muss nicht zahlen. Eine der praxisrelevantesten Abmahnfallen im Onlinehandel.

Eine Geldstrafe, die eine Behörde bei Verstößen gegen gesetzliche Pflichten (z. B. Datenschutz) verhängen kann.

Berücksichtigt werden u. a. Schwere und Dauer des Verstoßes, Vorsatz oder Fahrlässigkeit, getroffene Abhilfemaßnahmen, frühere Verstöße und der Umsatz des Unternehmens - der Bußgeldrahmen reicht bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem was höher ist.

EuGH, Urteil vom 07.03.2024: Der Verarbeitungsbegriff der DSGVO ist weit auszulegen. Die DSGVO greift, sobald personenbezogene Daten in einem Dateisystem gespeichert sind oder werden sollen, unabhängig von der Form (digital, Papier, mündlich).

Postfach, das alle nicht zuordenbaren eingehenden E-Mails einer Domain sammelt. Datenschutzrechtlich fehlt dafür in aller Regel eine Rechtsgrundlage, weshalb die Aufsicht davon abrät.

Ein Netzwerk von Servern an verschiedenen Standorten, das Webseiten-Inhalte näher am Besucher ausliefert und so die Ladezeit verkürzt.

US-Bundesbehörden müssen darin gelistete Lücken innerhalb gesetzter Fristen schließen. Für Unternehmen weltweit gilt der Katalog als De-facto-Prioritätenliste: Was hier steht, wird nicht mehr theoretisch ausgenutzt, sondern real.

Eine Software, die auf einer Webseite die Einwilligung der Besucher zu Cookies und Tracking einholt, speichert und verwaltet.

Ein DNS-Eintrag, der einen Domainnamen als Verweis (Alias) auf einen anderen Namen zeigen lässt – etwa eine eigene Domain auf einen Cloud-Dienst. Verweist ein CNAME auf einen nicht mehr belegten Dienst, droht eine Übernahme durch Dritte (Subdomain-Takeover).

Gelingt der Angriff, führt die Anwendung beliebigen Code im eigenen Anwendungskontext aus - also mit genau den Rechten, die der Anwendung selbst zustehen. Verwandt mit Command Injection, bei der statt Programmcode direkt Systembefehle eingeschleust werden.

Sicherheitslücke, bei der ein Angreifer über unzureichend geprüfte Eingaben eigene Befehle auf dem Server ausführen lässt. Sie kann zur vollständigen Übernahme des Systems führen.

Die Einhaltung gesetzlicher Vorgaben und Regeln durch ein Unternehmen oder eine Webseite.

Die aktive, informierte Zustimmung eines Webseiten-Besuchers, bevor Cookies gesetzt oder Daten erfasst werden dürfen.

Eine Google-Funktion, die das Verhalten von Google-Tags an den Einwilligungsstatus des Nutzers anpasst. Ohne Einwilligung sollen Tags nur eingeschränkte, teils anonymisierte Signale senden; ob dabei bereits personenbezogene Daten fließen, ist rechtlich umstritten.

Eine CMP allein macht eine Webseite nicht automatisch rechtskonform - entscheidend ist, ob die konkrete Ausgestaltung (Ablehnen genauso einfach wie Zustimmen, keine vorangehakten Kästchen) den rechtlichen Vorgaben entspricht.

Die Rechtmäßigkeit von Consent-or-Pay ist umstritten und Gegenstand laufender Verfahren vor europäischen Gerichten und Aufsichtsbehörden - insbesondere die Frage, ob die Einwilligung unter solchen Bedingungen noch freiwillig ist.

Ein Security-Header, der festlegt, von welchen Quellen eine Webseite Skripte und Inhalte laden darf - schützt vor eingeschleustem Schadcode.

Der Ansatz, dass ein KI-Modell auch nach dem Training immer weiterlernt, statt mit eingefrorenen Gewichten stehenzubleiben. Ziel ist Lernen im laufenden Betrieb, ohne früher Gelerntes zu vergessen.

Cookie-Forensik deckt auf, ob Tracking bereits vor der Einwilligung des Besuchers startet (Pre-Consent-Tracking) und ob die im Banner beschriebenen Cookies mit den tatsächlich gesetzten übereinstimmen.

Bekanntestes Beispiel ist die GPL. Wer GPL-Code in eigene Software einbindet und diese weitergibt, muss unter Umständen den gesamten eigenen Quellcode ebenfalls unter GPL offenlegen ('viraler Effekt').

Je nach Variante (z. B. CC BY, CC BY-SA, CC BY-NC) ist Namensnennung, Weitergabe unter gleichen Bedingungen oder ein Ausschluss kommerzieller Nutzung Pflicht - ein Verstoß gegen die Lizenzbedingungen macht die Nutzung nachträglich rechtswidrig.

Credential-Stuffing nutzt aus, dass viele Nutzer dasselbe Passwort für mehrere Dienste verwenden. Gelangt eine E-Mail-Passwort-Kombination bei einem Datenleck in Umlauf, testen Angreifer sie automatisiert auf tausenden anderen Webseiten. Für Website-Betreiber bedeutet das: Auch ein technisch sicheres System kann kompromittiert werden, wenn Kunden oder Mitarbeiter Passwörter mehrfach verwenden - Mehr-Faktor-Authentifizierung ist der wirksamste Schutz dagegen.

Das Einschleusen versteckter Steuerzeichen (Zeilenumbrüche) in Eingaben, um Protokolle zu fälschen oder Schutzmechanismen wie die Anmeldung auszuhebeln.

Ein Angriff, der einen angemeldeten Nutzer unbemerkt dazu bringt, eine ungewollte Aktion auszuführen, etwa eine Einstellung zu ändern, ohne dass er es merkt.

Eine öffentlich gelistete, eindeutig nummerierte Sicherheitslücke in Software (z. B. einem WordPress-Plugin), die weltweit dokumentiert und nachschlagbar ist.

Das Format lautet CVE-Jahr-Laufnummer. Die Kennung allein sagt nichts über die Schwere aus - dafür gibt es den separaten CVSS-Score.

Die Abkürzung steht für Common Vulnerability Scoring System, einen herstellerübergreifenden Standard. Werte ab 9,0 gelten als kritisch und erfordern in der Regel sofortiges Handeln.

Der Score allein sagt nichts darüber aus, ob eine Lücke tatsächlich aktiv ausgenutzt wird - dafür ist der separate KEV-Katalog aussagekräftiger. Ein hoher CVSS-Wert beschreibt das theoretische Schadenspotenzial, nicht die reale Bedrohungslage.

Die Common Weakness Enumeration ist ein standardisierter Katalog typischer Software-Schwachstellenarten. Jede Kategorie trägt eine feste Nummer (etwa CWE-502), auf die sich Sicherheitsberichte beziehen, um Fehlerklassen eindeutig zu benennen.

DANE (DNS-based Authentication of Named Entities) ergänzt die klassische Zertifikatsprüfung um einen zusätzlichen, per DNSSEC abgesicherten Vertrauensanker direkt im DNS. Vor allem beim E-Mail-Transport zwischen Mailservern schützt DANE davor, dass ein Angreifer per Man-in-the-Middle ein gefälschtes Zertifikat unterschiebt und Nachrichten mitliest oder manipuliert. Ohne DANE verlässt sich die Verbindung allein auf die üblicherweise ungesicherte Aushandlung, welches Zertifikat als vertrauenswürdig gilt.

Dark Patterns sind der Oberbegriff für irreführende Gestaltungsmuster; das Nudging im Cookie-Banner ist eine ihrer bekanntesten Unterformen. Typische Beispiele sind versteckte Ablehn-Buttons, voreingestellte Häkchen oder künstlich erschwerte Kündigungswege. Der Europäische Datenschutzausschuss (EDSA) hat für Cookie-Banner und soziale Netzwerke eigene Leitlinien zur Erkennung solcher Muster veröffentlicht.

Der Digital Services Act verbietet Online-Plattformen ausdrücklich täuschende Design-Muster wie erschwerte Kündigungswege oder optisch hervorgehobene Zustimmungs-Buttons gegenüber unauffälligen Ablehnungs-Buttons.

DLP-Systeme überwachen typischerweise Datenflüsse an Endpunkten, in E-Mails oder Cloud-Uploads und blockieren oder melden verdächtige Übertragungen sensibler Informationen wie Kundendaten oder Geschäftsgeheimnisse.

Rechtsschutzinstanz innerhalb des DPF-Mechanismus für EU-Betroffene.

Eine strukturierte Sammlung personenbezogener Daten; die DSGVO gilt bereits, sobald Daten in einem solchen System gespeichert sind oder werden sollen – auch in Papierakten.

Ein Kontaktformular, das zusätzlich zur E-Mail-Adresse auch Geburtsdatum oder Beruf abfragt, ohne dass dies für die Bearbeitung der Anfrage nötig ist, verstößt gegen diesen Grundsatz.

Gilt nur für Daten, die die Person selbst aktiv bereitgestellt hat, und nur bei Verarbeitung aufgrund Einwilligung oder Vertrag - nicht bei jeder Rechtsgrundlage.

Nach Art. 35 DSGVO vorgeschriebene Vorab-Prüfung, mit der ein Verantwortlicher die Risiken einer geplanten Datenverarbeitung für die Betroffenen bewertet und Gegenmaßnahmen festlegt. Pflicht bei voraussichtlich hohem Risiko, etwa umfangreicher Überwachung.

Eine Zertifizierung ersetzt nicht die eigenverantwortliche Prüfung der DSGVO-Konformität, kann aber im Rechenschaftsnachweis und in Ausschreibungen ein wertvolles Argument sein.

Die staatliche Behörde, die die Einhaltung des Datenschutzrechts überwacht und durchsetzt.

Eine Bestellpflicht besteht u. a., wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung befasst sind, oder bei bestimmten Hochrisiko-Verarbeitungen unabhängig von der Mitarbeiterzahl.

Die Datenschutzerklärung muss jederzeit leicht auffindbar sein und alle nach Art. 13/14 DSGVO vorgeschriebenen Pflichtangaben enthalten - eine bloße Kopie einer fremden Vorlage ohne Anpassung an die eigenen tatsächlichen Verarbeitungen genügt nicht.

Das gemeinsame Gremium der unabhängigen deutschen Datenschutzaufsichtsbehörden des Bundes und der 16 Länder, das abgestimmte Beschlüsse und Orientierungshilfen zur Auslegung des Datenschutzrechts veröffentlicht.

Ein Medium (z. B. eine E-Mail oder PDF-Datei), auf dem eine rechtlich relevante Bestätigung dauerhaft gespeichert und nachgewiesen werden kann.

Deep Links sind nach ständiger Rechtsprechung grundsätzlich zulässig, solange sie nicht den Eindruck erwecken, der Inhalt stamme vom Verlinkenden selbst, oder technische Schutzmaßnahmen umgehen.

Englisch für 'Tieftauchgang' - eine intensive, tiefgehende Beschäftigung mit einem Thema; im Beratungskontext ein ausführlicher Workshop, in dem ein Thema gründlich und in allen Details durchgearbeitet wird.

Deepfakes unterliegen einer eigenen Kennzeichnungspflicht nach der KI-Verordnung; zusätzlich können Persönlichkeitsrechte, Urheberrecht oder Straftatbestände (z. B. Verleumdung) berührt sein.

Eine ASP.NET-Core-Fehlerseite, die im Entwicklungsmodus vollständige Fehlermeldungen samt Stacktrace, Quellcode-Ausschnitten und Umgebungsdaten anzeigt. Bleibt sie versehentlich im Produktivbetrieb aktiv, gibt sie Angreifern wertvolle interne Informationen preis.

Die Fähigkeit, selbstbestimmt über die eigenen Daten und die eingesetzte IT zu verfügen, unabhängig von einzelnen Anbietern. Der Begriff zielt auf tatsächliche technische und organisatorische Kontrolle, nicht nur auf vertragliche Zusicherungen.

Ein E-Mail-Sicherheitsstandard, der auf SPF und DKIM aufbaut und festlegt, wie Empfänger mit unauthentifizierten Nachrichten einer Domain umgehen sollen. Er schützt vor Absenderfälschung und liefert Berichte über Missbrauch.

Das System, das Internet-Adressen wie expertomundi.de in die technische Server-Adresse übersetzt, die ein Browser tatsächlich ansteuert.

Der Berechtigte kann sich gegen Domain-Grabbing mit Namens-, Marken- oder Wettbewerbsrecht wehren; entscheidend ist meist die Priorität der Rechte und eine erkennbare Behinderungsabsicht.

Eine EU-Verordnung, die Finanzunternehmen und ihre IT-Dienstleister zu erhöhter digitaler Widerstandsfähigkeit gegen Cyber-Vorfälle verpflichtet.

Ein Angriff, der einen Server gezielt überlastet oder zum Absturz bringt, sodass die Webseite für echte Besucher nicht mehr erreichbar ist.

Ein Verschlüsselungsverfahren, bei dem ein Cloud-Anbieter Daten nur verschlüsselt sieht, weil der zweite Schlüssel ausschließlich beim Kunden verbleibt.

Eine wirksame TDDDG-Einwilligung zum Setzen eines Cookies ersetzt nicht automatisch die datenschutzrechtliche Rechtsgrundlage für die anschließende Verarbeitung der damit erhobenen Daten - beide Ebenen müssen sauber getrennt betrachtet werden.

Double-Opt-In gilt als Nachweis-Standard für eine wirksame Einwilligung in E-Mail-Werbung und schützt zugleich vor Missbrauch fremder E-Mail-Adressen.

Der Begriff geht auf mehrere EuGH-Urteile zurück (unter anderem 'Schrems II'), die geklärt haben, unter welchen Bedingungen Daten in Länder wie die USA übermittelt werden dürfen.

Eine Variante der TLS-Verschlüsselung für verbindungslose Übertragung, etwa bei VPNs oder Echtzeit-Kommunikation.

Eine IP-Adresse, die einem Gerät bei jeder Einwahl neu zugewiesen wird. Der EuGH (Breyer, C-582/14) entschied, dass sie für den Websitebetreiber personenbezogen sein kann, wenn rechtliche Mittel bestehen, die betroffene Person mit zumutbarem Aufwand zu identifizieren.

Das Gremium der europäischen Datenschutzbehörden, das einheitliche Leitlinien zur Auslegung der DSGVO veröffentlicht - etwa zu Drittland-Transfers oder Cookie-Consent.

Eine wirksame Einwilligung muss vor der Verarbeitung erteilt werden, aktiv erfolgen (kein vorangehaktes Kästchen) und jederzeit so einfach widerrufbar sein, wie sie erteilt wurde.

Die europäische Norm, die konkrete technische Barrierefreiheits-Anforderungen an Webseiten, Software und Hardware festlegt - u. a. Grundlage für BFSG-Konformität, baut auf WCAG auf.

Das Datum, ab dem ein Hersteller ein Produkt nicht mehr neu verkauft, auch wenn Support und Updates in der Regel noch eine Zeit lang weiterlaufen.

Das Datum, ab dem ein Hersteller für ein Produkt keinen technischen Support und keine Sicherheitsupdates mehr liefert.

Eine Vereinbarung zwischen EU und USA, die den Datenaustausch mit US-Anbietern erleichtern soll, deren dauerhafte Rechtssicherheit jedoch umstritten ist.

Gericht der Europäischen Union mit Sitz in Luxemburg. Es ist die Vorinstanz zum Europäischen Gerichtshof (EuGH) und entscheidet unter anderem über Klagen gegen Entscheidungen der EU-Kommission, etwa zur Einstufung sehr großer Online-Plattformen nach dem DSA.

Oberstes Gericht der Europäischen Union mit Sitz in Luxemburg. Es legt EU-Recht verbindlich aus und prägt mit seinen Urteilen unter anderem das Datenschutz- und Wettbewerbsrecht in allen Mitgliedstaaten.

Das automatisierte Absammeln von öffentlich sichtbaren Nutzerdaten einer Plattform durch Dritte. Beim Facebook-Datenvorfall wurden so Millionen Telefonnummern abgegriffen; der BGH sprach hierfür Schadensersatz wegen Kontrollverlusts zu (VI ZR 10/24).

Ein neuronales Netz, in dem Informationen nur in eine Richtung fließen: vom Eingang zum Ausgang, ohne Rückkopplungsschleifen.

Bei Fernabsatzverträgen mit Verbrauchern gelten besondere Informationspflichten und in der Regel ein 14-tägiges Widerrufsrecht, das bei stationären Ladengeschäften nicht existiert.

Da Fingerprinting Informationen aus dem Endgerät ausliest, unterliegt es nach herrschender Auffassung derselben Einwilligungspflicht wie Cookies - ein Cookie-Verzicht allein macht eine Webseite also nicht automatisch einwilligungsfrei.

Ein US-Gesetz, das US-Geheimdiensten unter bestimmten Bedingungen Zugriff auf bei US-Anbietern gespeicherte Daten erlaubt - auch wenn diese Daten in Europa liegen.

Kündigungsschutz, wonach Amtsträger nur aus wichtigem Grund (z. B. Pflichtverletzung oder Untätigkeit) entlassen werden dürfen.

Die technische Spurensuche und Beweissicherung, hier: das lückenlose Nachvollziehen, welche Daten eine Webseite tatsächlich sendet und speichert.

Framing ist urheberrechtlich grundsätzlich zulässig, wenn der Inhalt vom Rechteinhaber frei zugänglich ins Netz gestellt wurde - werden dagegen technische Schutzmaßnahmen umgangen, liegt eine Rechtsverletzung vor.

US-Wettbewerbs- und Verbraucherschutzbehörde; eine der zentralen Durchsetzungsbehörden des EU-US Data Privacy Framework.

Nicht personengebundenes E-Mail-Postfach, etwa buchhaltung@firma.de, das von mehreren Personen genutzt und beim Ausscheiden Einzelner ohne Zugriff auf ein persönliches Postfach weitergeführt werden kann.

Der Zustand, dass zwei oder mehr Stellen gemeinsam über Zwecke und Mittel einer Datenverarbeitung entscheiden, etwa ein Websitebetreiber und ein eingebundener Tool-Anbieter - beide haften Betroffenen gegenüber gesamtschuldnerisch (Art. 82 Abs. 4 DSGVO); die Aufteilung der Pflichten regelt Art. 26 DSGVO.

Technik, die anhand von Standortdaten ein virtuelles geografisches Gebiet definiert und Aktionen auslöst, sobald ein Gerät dieses betritt oder verlässt. Datenschutzrechtlich heikel, weil dabei laufend Positionsdaten verarbeitet werden.

Verfassungsrechtliche Trennung von Legislative, Exekutive und Judikative.

Die einstellbaren Zahlen in einem neuronalen Netz, die bestimmen, wie stark einzelne Verbindungen wirken. Beim Training werden sie angepasst; große Sprachmodelle haben Milliarden davon.

Ein Google-Werkzeug, das Tracking- und Marketing-Codes (Tags) zentral verwaltet und ohne Änderung des Seitenquelltextes in eine Webseite einbindet. Es lädt selbst Skripte nach, die Nutzerdaten erheben können, und ist daher datenschutzrechtlich einwilligungsrelevant.

Anbieter von GPAI-Modellen müssen u. a. technische Dokumentation bereitstellen und Urheberrechts-konforme Trainingsdaten-Zusammenfassungen veröffentlichen; bei systemischem Risiko kommen weitere Pflichten hinzu.

Die GPL zählt zu den strengeren Open-Source-Lizenzen: Wer GPL-Code in eine eigene, weitergegebene Software integriert, muss unter bestimmten Voraussetzungen den vollständigen eigenen Quellcode ebenfalls unter der GPL offenlegen.

Grafikprozessoren (GPUs) können sehr viele Rechenoperationen gleichzeitig ausführen. Diese massive Parallelverarbeitung macht das Training großer KI-Modelle überhaupt erst praktikabel.

Das mathematische Optimierungsverfahren, mit dem neuronale Netze lernen. Das Modell tastet sich in kleinen Schritten immer in die Richtung, die den Fehler am stärksten verringert.

Das Gesetz kennt das Wort Greenwashing nicht. Es verbietet stattdessen einzelne Fälle, etwa pauschale Aussagen wie „umweltfreundlich“ ohne anerkannten Nachweis oder Siegel ohne unabhängige Prüfung. Diese Fälle stehen im Anhang zu § 3 Absatz 3 UWG.

Ein modernes Protokoll für die schnelle Kommunikation zwischen Server-Diensten, häufig in verteilten Anwendungen und Microservices.

Eine HAR-Aufzeichnung (HTTP Archive) ist ein Protokoll, das alle Interaktionen und Netzwerkanfragen zwischen Ihrem Webbrowser und einer Website mitschneidet, und wird häufig zur Fehlerbehebung von Webseiten-Problemen verwendet. Die Datei zeigt exakt, welche Anfragen ein Browser stellt, an wen und mit welchem Inhalt. Im Audit dient sie als lückenloses Beweismittel - damit lässt sich beispielsweise belegen, ob ein Tracker schon vor der Einwilligung aktiv war.

Ein spezieller Pufferüberlauf im dynamischen Speicherbereich (Heap) eines Programms, der zu Abstürzen oder Codeausführung führen kann.

Für Hochrisiko-Systeme gelten u. a. Pflichten zu Risikomanagement, Datenqualität, menschlicher Aufsicht und Dokumentation - deutlich strenger als bei einem gewöhnlichen KI-Einsatz.

Honeypots liefern wertvolle Erkenntnisse über aktuelle Angriffsmuster, ersetzen aber keine reguläre Absicherung der produktiven Systeme.

Die Bereitstellung von Serverplatz, auf dem eine Webseite technisch gespeichert und betrieben wird.

Eine technische Anweisung des Servers an den Browser, eine Webseite ausschließlich über die verschlüsselte Verbindung aufzurufen - schützt vor bestimmten Abhör-Angriffen.

Eine Angriffsklasse, bei der ein Angreifer HTTP-Anfragen so verschachtelt, dass vorgelagerte und nachgelagerte Server sie unterschiedlich auslegen. Damit lassen sich Sicherheitsfilter umgehen oder fremde Anfragen manipulieren.

Kleine technische Anweisungen, die ein Server im Hintergrund mit jeder Webseite mitsendet, um Browser vor bestimmten Angriffsarten zu schützen.

Die neueste Version des Web-Protokolls, das Webseiten schneller und stabiler ausliefert, indem es auf die Transporttechnik QUIC setzt.

US-Grundsatzurteil von 1935, das den Abberufungsschutz für Mitglieder unabhängiger Behörden für zulässig erklärte; der Supreme Court hat Humphrey’s Executor mit Trump v. Slaughter (Urteil vom 29.06.2026) insoweit ausdrücklich aufgegeben.

Wer sich fremde Inhalte durch einen Link zu eigen macht oder trotz Kenntnis der Rechtswidrigkeit weiter verlinkt, kann selbst haften - reine technische Linksetzung ohne Kenntnis ist dagegen grundsätzlich privilegiert.

International Association of Privacy Professionals, internationaler Fachverband für Datenschutz.

Eine verbreitete .NET-Komponente für Anmeldung und Zugriffsverwaltung (Authentifizierung und Autorisierung) nach den Standards OAuth 2.0 und OpenID Connect. Sie stellt Zugriffs-Token aus; veraltete oder falsch konfigurierte Versionen sind ein beliebtes Angriffsziel.

Der Webserver von Microsoft, der Webseiten und Webanwendungen unter Windows ausliefert. Er nimmt Anfragen der Besucher entgegen und gibt die passenden Inhalte zurück, vergleichbar mit Apache oder nginx unter Linux.

Informations- und Kommunikationstechnik - Sammelbegriff für alle technischen Systeme zur Verarbeitung und Übertragung von Informationen: Computer, Netzwerke, Software, Telekommunikation.

Die gesetzliche Pflicht, auf jeder geschäftlich genutzten Webseite Anbieterkennzeichnung wie Name, Anschrift und Kontaktdaten anzugeben.

Der geplante Ablauf, mit dem ein Unternehmen auf einen Sicherheitsvorfall (z. B. Hackerangriff, Datenleck) reagiert: erkennen, eindämmen, Ursache beheben, wiederherstellen.

Ein guter Plan legt vorab fest: wer informiert wird, wer entscheidet, welche Systeme isoliert werden und wie die 72-Stunden-Meldefrist der DSGVO bei einer Datenpanne eingehalten wird.

Die Anwendungsphase eines KI-Modells: Nach dem Training wird das fertige Modell genutzt, um für neue Eingaben Antworten zu berechnen. Beim Transformer sind die Gewichte dabei fest.

Erhält der Influencer eine Gegenleistung (Geld, Produkte, Rabatte), muss der Beitrag klar und unmittelbar als Werbung gekennzeichnet werden - eine reine private, unbezahlte Empfehlung ('Tap-Tags' ohne Gegenleistung) ist dagegen nach der Rechtsprechung meist kennzeichnungsfrei.

Ein technischer Hinweis, der auf eine bereits erfolgte Kompromittierung eines Systems hindeutet, etwa ein bestimmter Log-Eintrag, eine verdächtige Datei oder eine auffällige Netzwerkverbindung.

Auch objektiv wahre Aussagen können irreführend sein, wenn sie einen falschen Gesamteindruck erwecken (z. B. Mondpreis-Rabatte, unvollständige Vergleiche). Abgemahnt wird meist durch Mitbewerber oder Wettbewerbsverbände.

Der in ASP.NET Core eingebaute, plattformübergreifende Webserver. Er wird meist hinter einem vorgelagerten Server (etwa IIS oder nginx) betrieben, kann Anfragen aber auch direkt entgegennehmen.

Eine Aufnahme in den KEV-Katalog gilt als starkes Signal für dringenden Handlungsbedarf, da sie belegt, dass die Lücke nicht nur theoretisch, sondern real ausgenutzt wird - CISA setzt Bundesbehörden dafür verbindliche Patch-Fristen.

Betreiber von Chatbots müssen offenlegen, dass Nutzer mit einer KI interagieren; Deepfakes und KI-generierte Texte zu Themen von öffentlichem Interesse müssen als solche gekennzeichnet werden.

Eine steuerliche Sonderregelung, nach der kleine Unternehmen unterhalb bestimmter Umsatzgrenzen keine Umsatzsteuer ausweisen müssen.

Typisch sind Aussagen wie „klimaneutral“ oder „mit Klimaausgleich“. Erwägungsgrund 12 der Richtlinie (EU) 2024/825 nennt diese Beispiele, ist aber nur Auslegungshilfe. Dort steht auch, dass Unternehmen weiterhin für ihre Investitionen in Umweltinitiativen werben dürfen, sofern die Information nicht irreführend ist.

Rechtlicher Maßstab aus dem US-Recht, wonach für den behördlichen Zugriff entscheidend ist, wer die Kontrolle über Daten hat, nicht wo diese gespeichert sind. Dadurch können US-Anbieter auch zur Herausgabe von in Europa gespeicherten Daten verpflichtet werden.

Der Umstand, dass eine Person die Kontrolle über ihre personenbezogenen Daten verliert, etwa durch ein Datenleck oder eine unbefugte Weitergabe - nach gefestigter Rechtsprechung kann dieser Verlust allein bereits einen ersatzfähigen immateriellen Schaden nach Art. 82 DSGVO begründen, ohne dass ein konkreter Missbrauch nachgewiesen werden muss.

Das Recht, eine Kopie der über die eigene Person verarbeiteten Daten zu erhalten.

Eine Einwilligung gilt als nicht freiwillig erteilt, wenn ohne sie die Leistung verweigert wird, obwohl die Datenverarbeitung für die Leistung selbst gar nicht nötig ist.

Als KRITIS gelten Betreiber in Sektoren wie Energie, Wasser, Gesundheit oder Finanzwesen, sobald sie eine bestimmte Größe erreichen - die Regelschwelle liegt meist bei 500.000 versorgten Personen. Grundlage sind das BSI-Gesetz und die BSI-Kritisverordnung. KRITIS-Betreiber gelten automatisch als 'besonders wichtige Einrichtung' im Sinne der NIS2-Richtlinie und müssen entsprechend höhere Sicherheitsstandards und Meldepflichten bei Cyber-Vorfällen erfüllen.

Ein großes Sprachmodell, das auf riesigen Textmengen trainiert wurde und daraus Sprache erzeugt. Bekannte Beispiele sind ChatGPT, Claude oder Gemini; technisch steckt meist ein Transformer dahinter.

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen — zuständige Aufsichtsbehörde für den öffentlichen und nichtöffentlichen Bereich in NRW.

Diese Rechtsgrundlage erfordert immer eine Interessenabwägung im Einzelfall und ist bei Werbezwecken besonders streitanfällig - der Betroffene hat dabei stets ein unbedingtes Widerspruchsrecht.

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz mit Sitz in Mainz ist die für dieses Bundesland zuständige Datenschutz-Aufsichtsbehörde. Er berät, kontrolliert und kann Bußgelder verhängen.

Eine Lücke, über die ein Angreifer den Server dazu bringt, eigentlich geschützte Dateien einzulesen oder auszuführen, oft ein Einfallstor zur Serverübernahme.

Ein automatisierter Test-Wert, der misst, wie gut eine Webseite die Regeln der Barrierefreiheit erfüllt.

Eine Lizenzverletzung liegt nicht nur bei komplett fehlender Lizenz vor, sondern auch, wenn eine bestehende Lizenz überschritten wird - etwa bei mehr Nutzern, mehr Installationen oder einer nicht erlaubten kommerziellen Nutzung.

Die Einwilligungspflicht knüpft nicht an die Bezeichnung 'Cookie' an, sondern an das Speichern oder Auslesen von Informationen im Endgerät - Local Storage, IndexedDB und Cookies werden rechtlich gleich behandelt.

Dokumentierte Regeln, welche personenbezogenen Daten wann gelöscht werden (Umsetzung der Speicherbegrenzung, Art. 5 DSGVO).

Ein wiederkehrender, meist automatisierter Ablauf, mit dem personenbezogene Daten gelöscht werden, sobald der Zweck ihrer Speicherung entfällt (Umsetzung der Speicherbegrenzung, Art. 5 DSGVO).

Ein geheimer Schlüssel in ASP.NET-Anwendungen, mit dem der Server Daten wie den ViewState signiert und verschlüsselt. Wird dieser Schlüssel öffentlich bekannt, können Angreifer gültige Daten fälschen und teils eigenen Code auf dem Server ausführen.

Die Pflicht von Rechtsanwälten und anderen Berufsgeheimnisträgern, alle im Rahmen eines Mandats bekannt gewordenen Informationen vertraulich zu behandeln. Verankert unter anderem in § 43a BRAO und strafbewehrt über § 203 StGB.

Entscheidend ist meist die Verwechslungsgefahr aus Sicht der angesprochenen Verkehrskreise - auch geringe Abwandlungen des Markennamens können bereits eine Verletzung darstellen.

Die Pflicht, eine Verletzung des Schutzes personenbezogener Daten der Aufsichtsbehörde zu melden.

Nach dem deutschen NIS2-Umsetzungsgesetz gilt für betroffene Einrichtungen eine erste Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden und ein Abschlussbericht spätestens nach einem Monat - deutlich engere Fristen als bei der DSGVO-Meldepflicht.

Bei hohem Risiko müssen zusätzlich die betroffenen Personen selbst informiert werden. Die 72-Stunden-Frist läuft ab Kenntnis der Panne, nicht ab ihrer Behebung.

Unternehmenskäufe, -verkäufe und -zusammenschlüsse. Die zugehörigen Unterlagen (Due-Diligence-Daten, Verträge, Finanzkennzahlen) sind typischerweise streng vertraulich.

Ein Anmeldeverfahren, das zusätzlich zum Passwort einen zweiten Nachweis verlangt, etwa einen Code aufs Handy oder einen Sicherheitsschlüssel - erschwert den Zugriff bei gestohlenen Passwörtern erheblich.

Die Einführung der Mehr-Faktor-Authentifizierung in einem Unternehmen - Anmeldung mit mehr als nur einem Passwort, z. B. zusätzlich ein Code aufs Handy oder ein Sicherheitsschlüssel.

In der Schwachstellen-Systematik wird der Mangel als eigene Fehlerklasse unter der Kennung CWE-306 geführt. Anders als beim Authentication-Bypass existiert hier gar keine Schutzhürde, die ein Angreifer aushebeln müsste.

Einzige zentrale Pflicht ist die Beibehaltung des Lizenz- und Copyright-Hinweises in Kopien der Software - anders als bei Copyleft-Lizenzen muss abgeleiteter Code nicht offengelegt werden.

Ein Zugriff auf Daten durch Beschäftigte, der rechtswidrig oder außerhalb der internen Regeln und ohne Weisung erfolgt.

Mitbewerber dürfen nach § 8 Absatz 3 Nummer 1 UWG abmahnen, wenn sie Waren oder Dienstleistungen in nicht unerheblichem Maße und nicht nur gelegentlich vertreiben oder nachfragen.

Zustand, bei dem eine über HTTPS ausgelieferte Webseite einzelne Inhalte unverschlüsselt über HTTP nachlädt. Solche Inhalte lassen sich abfangen oder manipulieren und schwächen den Schutz der Verschlüsselung.

Ein Mutual Legal Assistance Treaty (Rechtshilfeabkommen) ist ein zwischenstaatlicher Vertrag, über den Behörden verschiedener Länder bei Ermittlungen Daten und Beweismittel anfordern. Er gilt als der rechtsstaatlich vorgesehene Weg, den der US CLOUD Act umgeht.

Die dauerhafte, automatisierte Überwachung einer Webseite auf neue Sicherheitslücken, Ausfälle oder Compliance-Verstöße.

Ein DNS-Eintrag, der festlegt, welcher Mailserver für eine Domain E-Mails entgegennimmt.

Ein selbst gestaltetes Blatt-Logo mit dem Schriftzug „Grüner Betrieb“ kann ein Nachhaltigkeitssiegel sein. Gegenüber Verbrauchern ist es stets unzulässig, ein solches Siegel anzubringen, wenn es weder auf einem Zertifizierungssystem beruht noch von staatlichen Stellen festgesetzt wurde (Anhang Nr. 2a).

Eine gerichtlich bestellte Person, die einen Nachlass sichert und verwaltet, solange die Erben unbekannt oder ungeklärt sind.

Ein US-amerikanischer Nachrichtendienst für Auslands- und Signalaufklärung, der elektronische Kommunikation und Daten erfasst und auswertet.

Ein Eintrag bei einer Auskunftei über eine Zahlungsstörung, etwa eine offene, mehrfach angemahnte Forderung. Solche Meldungen verschlechtern den Bonitäts-Score und dürfen nur unter engen Voraussetzungen gespeichert werden.

Botenstoffe im Gehirn wie Dopamin oder Serotonin, die ganze Nervenschaltkreise umschalten und ihr Verhalten verändern können. Eine solche flexible Steuerung fehlt künstlichen Netzen.

Spezielle Computerchips, die dem Gehirn nachempfunden sind und mit Impulsen statt getakteter Matrixmathematik rechnen. Sie sollen KI deutlich energiesparender machen.

Anbieter müssen ein leicht zugängliches, elektronisches Meldeverfahren bereitstellen und den Melder über die getroffene Entscheidung informieren - unabhängig davon, ob der Melder ein anerkannter Trusted Flagger ist.

Reagiert der Anbieter nach Kenntniserlangung nicht unverzüglich, entfällt die Haftungsprivilegierung und er haftet wie der Urheber des Inhalts selbst mit.

Europäische Datenschutzorganisation (None of Your Business, gegründet von Max Schrems).

Im Cookie-Banner-Kontext bedeutet Nudging typischerweise, dass die Schaltfläche „Alle akzeptieren“ optisch hervorgehoben und die Ablehnoption versteckt oder unauffällig gestaltet ist. Das VG Hannover hat entschieden, dass ein solches Nudging die Einwilligung unwirksam macht, weil sie nicht mehr freiwillig im Sinne der DSGVO erteilt wird (VG Hannover, Urteil vom 19.03.2025, Az. 10 A 5385/22).

Die National Vulnerability Database ist die vom US-Institut NIST betriebene, öffentlich zugängliche Referenzdatenbank für bekannte Sicherheitslücken. Sie reichert CVE-Einträge mit Bewertungen und technischen Details an.

Ein Standard, mit dem sich Nutzer über einen bestehenden Dienst (etwa Google oder Microsoft) bei einer anderen Anwendung anmelden können, ohne dort ein neues Passwort anzulegen.

Gericht der Berufungsinstanz in Zivilsachen, angesiedelt zwischen Landgericht und Bundesgerichtshof. Es überprüft erstinstanzliche Urteile und entscheidet unter anderem über Streitfälle zum Datenschutz-Schadensersatz.

Eine Webseite, die alle wichtigen Inhalte auf einer einzigen, durchgehend scrollbaren Seite zusammenfasst statt auf mehrere Unterseiten zu verteilen.

Je nach Lizenztyp (permissiv wie MIT/BSD oder Copyleft wie GPL) unterscheiden sich die Pflichten stark - von einfacher Namensnennung bis zur Pflicht, eigenen abgeleiteten Code ebenfalls offenzulegen. Verstöße können abgemahnt werden.

Ein offener Standard zur Verschlüsselung und digitalen Signatur von E-Mails und Dateien, als Alternative zu S/MIME auf einem eigenen Schlüsselvertrauensmodell aufgebaut.

Zustimmungsmodell, bei dem eine Datenverarbeitung erst nach einer aktiven Handlung des Nutzers erlaubt ist, etwa einem bewusst gesetzten Häkchen. Für nicht notwendige Cookies ist seit der Planet49-Rechtsprechung nur dieses Modell zulässig.

Modell, bei dem eine Datenverarbeitung voreingestellt aktiv ist und der Nutzer ihr erst nachträglich widersprechen muss. Für nicht notwendige Cookies nach der Planet49-Rechtsprechung unzulässig.

Für einwilligungsbedürftige Verarbeitungen (z. B. Tracking-Cookies) genügt ein Opt-Out nach europäischem Recht nicht - erforderlich ist eine aktive Opt-In-Einwilligung vor Beginn der Verarbeitung.

Der private Schlüssel verlässt nie das Gerät des Nutzers - dadurch entfällt das klassische Risiko gestohlener oder wiederverwendeter Passwörter bei Datenlecks.

Der organisierte Prozess, Software-Updates (Patches) zeitnah einzuspielen, um bekannte Sicherheitslücken zu schließen. Ein funktionierendes Patch-Management gehört zu den wirksamsten Schutzmaßnahmen gegen Angriffe.

Patchstack ist ein auf WordPress spezialisierter Sicherheitsdienst und offiziell anerkannte Vergabestelle für CVE-Nummern (CVE Numbering Authority) im WordPress-Ökosystem. Neu entdeckte Lücken in Plugins und Themes werden dort dokumentiert.

Ein Pentest simuliert das Vorgehen eines Angreifers und geht damit über einen automatisierten Schwachstellen-Scan hinaus, der nur bekannte Muster prüft. Ohne ausdrückliche Erlaubnis des Betreibers ist ein Pentest strafbar (Paragraf 202a ff. StGB).

Dazu zählen nicht nur Name und Adresse, sondern auch IP-Adressen, Online-Kennungen, Standortdaten oder Fotos - entscheidend ist, ob die Person direkt oder indirekt (z. B. durch Kombination mit anderen Informationen) identifizierbar ist.

Betrugsmethode, bei der Angreifer über gefälschte E-Mails oder Webseiten Zugangsdaten oder sensible Informationen abgreifen, häufig getarnt als vertrauenswürdige Absender.

Schwachstelle, bei der eine PHP-Anwendung manipulierte Daten unkontrolliert in Objekte zurückverwandelt (Deserialisierung). Je nach vorhandenem Code können Angreifer dadurch Dateien verändern, Daten auslesen oder Schadcode ausführen.

Ein Verwaltungswerkzeug für Datenbanken, das - wenn ungeschützt im Internet erreichbar - ein erhebliches Sicherheitsrisiko für eine Webseite darstellt.

Kurzname zweier Leitentscheidungen zur Cookie-Einwilligung: EuGH C-673/17 (01.10.2019) und BGH I ZR 7/16 (28.05.2020). Beide stellten klar, dass ein bereits vorangekreuztes Cookie-Kästchen keine wirksame Einwilligung darstellt.

Der Digital Services Act und die eCommerce-Grundsätze privilegieren Plattformen für fremde Inhalte, solange sie keine Kenntnis der Rechtswidrigkeit haben und bei Kenntnis unverzüglich handeln (Notice-and-Takedown).

Sicherheitslücken in Erweiterungen (Plugins) oder Design-Vorlagen (Themes) eines Content-Management-Systems wie WordPress, die häufigste Einfallstor für Hacker-Angriffe.

Daten über einen ordnungsgemäßen Vertrag ohne Zahlungsstörung, etwa Vertragsabschluss, Vertragsbeendigung oder reine Identifizierungsdaten. Im Gegensatz zur Negativmeldung dokumentieren sie kein Fehlverhalten.

Das Setzen von Cookies oder das Erfassen von Nutzerdaten, bevor der Besucher überhaupt zugestimmt hat - ein häufiger, abmahnfähiger Rechtsverstoß.

Ohne aktives Zutun des Nutzers dürfen nur die für den jeweiligen Zweck unbedingt nötigen Daten verarbeitet werden - z. B. dürfen Tracking-Cookies nicht vorangehakt sein.

Wer eine Webseite oder Software plant, muss Datenschutz-Voreinstellungen und -Mechanismen bereits im Entwurf berücksichtigen (z. B. Datensparsamkeit, Verschlüsselung ab Werk), nicht erst nach Fertigstellung nachrüsten.

Frühere EU-US-Datentransfer-Mechanismen, beide vom EuGH gekippt (Vorgänger des DPF).

Vorgang, bei dem ein Angreifer sich höhere Zugriffsrechte verschafft, als ihm zustehen, etwa von einem normalen Nutzerkonto zu Administratorrechten. Dies weitet den möglichen Schaden eines Angriffs erheblich aus.

Ein standardisiertes Format, in dem Web-Schnittstellen (APIs) Fehler maschinenlesbar zurückmelden – mit Feldern wie Titel, Status und Detailbeschreibung. Zu ausführliche Detail-Angaben können dabei ungewollt interne technische Informationen preisgeben.

Jede automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte einer Person zu bewerten, etwa Interessen, Verhalten oder Aufenthaltsort (Art. 4 Nr. 4 DSGVO). Profiling unterliegt besonderen Transparenz- und Zulässigkeitsanforderungen.

Je nach Provider-Typ gelten unterschiedliche Haftungsprivilegien: reine Durchleitungsanbieter haften praktisch nie für den Inhalt, Hosting-Anbieter erst ab Kenntnis der Rechtswidrigkeit und fehlendem Tätigwerden.

Anders als bei echter Anonymisierung bleiben pseudonymisierte Daten personenbezogene Daten im Sinne der DSGVO - die Schutzwirkung liegt nur in der erschwerten Zuordnung.

Ein Fehler, bei dem ein Programm mehr Daten in einen Speicherbereich schreibt oder liest als vorgesehen. Folge sind Abstürze oder im schlimmsten Fall fremder Code auf dem Server.

Versehentlich im Internet erreichbare technische Dateien (z. B. .env oder .git), die vertrauliche Zugangsdaten oder Programmcode preisgeben können.

Datenschutzrechtlich liegt zugleich eine meldepflichtige Datenpanne nach Art. 33 DSGVO vor, sobald personenbezogene Daten betroffen sind - die Meldung an die Aufsichtsbehörde muss dann binnen 72 Stunden erfolgen.

Es reicht nicht, DSGVO-konform zu handeln - man muss es im Streitfall auch belegen können, etwa durch ein aktuelles Verarbeitungsverzeichnis, dokumentierte TOM und nachweisbare Einwilligungen.

Das Recht gilt nicht absolut - es tritt zurück, wenn eine gesetzliche Aufbewahrungspflicht besteht oder die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung oder zur Rechtsverteidigung erforderlich ist.

Die individuelle rechtliche Einschätzung eines konkreten Falls durch eine zugelassene Person - ein automatisierter Webseiten-Check ersetzt diese nicht.

Ein Rechtsmittel, mit dem eine gerichtliche Entscheidung von einem höheren Gericht auf Rechtsfehler überprüft wird.

Eine Entscheidung ist rechtskräftig, wenn dagegen kein ordentliches Rechtsmittel (etwa Berufung) mehr möglich ist. Erst dann steht das Ergebnis endgültig fest und ist vollstreckbar.

Eine vom Browser übermittelte Angabe, von welcher Seite ein Nutzer auf die aktuelle Seite gelangt ist. Der Referrer kann Rückschlüsse auf das Surfverhalten zulassen und ist daher datenschutzrelevant.

Rückkopplung in einem Netz: Ausgaben fließen wieder als Eingaben zurück, sodass das Netz eine Art Gedächtnis für zeitliche Abläufe bekommt. Das Gehirn ist stark rekurrent, klassische Transformer sind es kaum.

Werbetechnik, bei der Nutzer nach dem Besuch einer Webseite anhand gesetzter Kennungen wiedererkannt und gezielt erneut mit Anzeigen angesprochen werden. Sie setzt in der Regel Tracking über mehrere Seiten hinweg voraus und ist damit einwilligungspflichtig.

Als Schwachstelle gilt RCE als die schwerstmögliche Klasse, weil sie in der Regel zur vollständigen Übernahme des Systems führt. Bei Webseiten entsteht sie am häufigsten über Plugin-Schwachstellen: eine einzelne veraltete Erweiterung genügt, damit aus einer lokalen Lücke eine Fernübernahme wird.

Ein vorgeschalteter Server, der Anfragen entgegennimmt und an dahinterliegende Webserver verteilt, oft für Lastverteilung, Zwischenspeicherung und Schutz.

Die schrittweise Einführung einer neuen Technik oder Maßnahme im gesamten Unternehmen - etwa die Umstellung aller Mitarbeiter auf ein neues Anmeldeverfahren.

Ein Verschlüsselungsverfahren, das ein gemeinsames Vorab-Passwort mit RSA-Schlüsseln kombiniert, unter anderem bei bestimmten VPN- und TLS-Verbindungen.

Ein Standard zur Ende-zu-Ende-Verschlüsselung und digitalen Signatur von E-Mails, basierend auf Zertifikaten.

Fehlt die Kennzeichnung als 'Werbung' oder 'Anzeige' bei einer Gegenleistung des Unternehmens, liegt ein Wettbewerbsverstoß vor - unabhängig davon, ob die Zuschauer die Kooperation 'ohnehin vermuten'.

EuGH-Urteil von 2020, das den Privacy Shield für ungültig erklärte.

Die größte deutsche Wirtschaftsauskunftei. Sie sammelt Daten zur Kreditwürdigkeit von Verbrauchern und gibt daraus berechnete Bonitätswerte (Scores) an Banken, Vermieter und Händler weiter.

Eine Norm, die nicht nur öffentliche Interessen, sondern auch den einzelnen Bürger schützt. Ein Verstoß dagegen kann über § 823 Abs. 2 BGB einen eigenen zivilrechtlichen Schadensersatzanspruch des Geschädigten auslösen. Das OLG Frankfurt (6 U 81/23) stufte § 25 TDDDG als solches Schutzgesetz ein.

Ein technischer Fehler oder eine Lücke in einer Webseite oder Software, die von Angreifern ausgenutzt werden kann.

Anders als ein Penetrationstest simuliert ein Schwachstellen-Scan keinen gezielten Angriff, sondern gleicht das System systematisch gegen bekannte Schwachstellen ab - schnell und breit, aber weniger tiefgehend als ein manueller Test.

„Stets unzulässig“ heißt: Für diese Fälle verlangt das Gesetz keine zusätzliche Prüfung, ob die Handlung das Verhalten des Kunden im Einzelfall beeinflusst. Der Name „Schwarze Liste“ ist eine gebräuchliche Bezeichnung und steht so nicht im Gesetz.

Das Unkenntlichmachen einzelner Angaben in einem Dokument oder Datensatz, etwa um schutzwürdige Interessen Dritter zu wahren.

Das Maß an individueller geistiger Schöpfung, das ein Werk erreichen muss, um urheberrechtlich geschützt zu sein - bei KI-unterstützten Werken entscheidet der nachweisbare menschliche Schöpfungsanteil über die Schutzfähigkeit.

Sächsische Datenschutz- und Transparenzbeauftragte — zuständige Aufsichtsbehörde für Datenschutz und Informationsfreiheit im Freistaat Sachsen; vergleichbares Kurzform-Schema wie LDI NRW für Nordrhein-Westfalen.

Nach RFC 9116 legen Webseiten-Betreiber unter einem festen Pfad eine maschinenlesbare Datei ab, in der Sicherheitsforscher eine Kontaktadresse für die verantwortungsvolle Meldung gefundener Schwachstellen finden (koordinierte Schwachstellen-Offenlegung). Fehlt die Datei, müssen Finder oft mühsam eine Kontaktperson suchen oder melden Lücken gar nicht erst - was das Risiko erhöht, dass eine Schwachstelle unentdeckt bleibt oder öffentlich statt vertraulich bekannt wird.

Ein dem eigentlichen Mailserver vorgeschaltetes System, das eingehende und ausgehende E-Mails auf Spam, Phishing und Schadsoftware prüft, bevor sie zugestellt werden.

Maßnahmen, die eine Webseite so gestalten, dass sie in den unbezahlten Ergebnissen von Suchmaschinen besser gefunden wird. Dazu zählen technische, inhaltliche und strukturelle Optimierungen.

Server-Side-Tracking kann die technische Angriffsfläche verringern und Adblocker umgehen, ändert aber nichts an der grundsätzlichen Einwilligungspflicht für die zugrunde liegende Datenverarbeitung.

Technisch notwendige Session-Cookies (z. B. für den Warenkorb) sind in der Regel von der Einwilligungspflicht ausgenommen - anders als dauerhaft gespeicherte Tracking-Cookies, die eine Einwilligung erfordern.

SIEM-Systeme sind zentral, um verteilte Angriffsmuster zu erkennen, die in einem einzelnen Log unauffällig wirken würden - Voraussetzung für eine wirksame, schnelle Reaktion auf Vorfälle.

Eine .NET-Bibliothek für Echtzeit-Kommunikation zwischen Server und Browser, etwa für Chats, Live-Updates oder Benachrichtigungen. Sie hält eine Verbindung dauerhaft offen und überträgt Daten in beide Richtungen ohne wiederholtes Neuladen der Seite.

SSO verbessert die Nutzerfreundlichkeit und kann die Passwort-Sicherheit erhöhen (weniger wiederverwendete Passwörter), macht aber das zentrale Konto zu einem besonders schützenswerten Angriffsziel.

Klassische Beispiele sind Phishing-Mails, gefälschte Support-Anrufe oder vorgetäuschte Vorgesetzten-Anweisungen (CEO-Fraud). Die beste technische Absicherung hilft wenig, wenn Mitarbeiter nicht geschult sind.

Nach Zweckerreichung müssen Daten gelöscht oder anonymisiert werden - gesetzliche Aufbewahrungspflichten (z. B. im Steuer- oder Handelsrecht) können diese Frist verlängern, aber nicht unbegrenzt aufheben.

Ein E-Mail-Sicherheitsverfahren, das per DNS-Eintrag festlegt, welche Server im Namen einer Domain E-Mails versenden dürfen. Es erschwert das Fälschen der Absenderadresse und damit bestimmte Phishing-Angriffe.

Die kurzen elektrischen Impulse, mit denen echte Nervenzellen im Gehirn kommunizieren. Sie sind zeitlich codiert und asynchron, anders als die kontinuierlichen Werte in heutigen KI-Netzen.

Ein durch Sprache ausgedrücktes Werk im Sinne des § 2 Abs. 1 Nr. 1 UrhG, etwa ein Text, ein Liedtext oder ein Prosastück - geschützt, sofern es die nötige Schöpfungshöhe erreicht, unabhängig davon, mit welchem Mittel begleitende Elemente wie Musik erzeugt wurden.

Ein digitaler Echtheitsnachweis, der die verschlüsselte Datenübertragung zwischen Browser und Webseite ermöglicht und am Schloss-Symbol im Browser erkennbar ist.

Eine Schwachstellenklasse, bei der ein Angreifer ein Serversystem dazu bringt, Anfragen an von ihm gewählte, eigentlich nicht vorgesehene Ziele zu senden, oft genutzt, um von außen unerreichbare interne Systeme anzusprechen.

Der Stand der Technik verändert sich fortlaufend: Eine vor Jahren angemessene Verschlüsselung kann heute unzureichend sein. Unternehmen müssen ihre TOM deshalb regelmäßig überprüfen, nicht nur einmalig festlegen.

Von der EU-Kommission genehmigte Muster-Vertragsklauseln als Transfergrundlage nach Art. 46 DSGVO.

Eine neuere Modellklasse (zum Beispiel Mamba), die echte zeitliche Rückkopplung ins Modell zurückbringt. Sie gilt als Alternative oder Ergänzung zum Transformer, besonders für sehr lange Sequenzen.

Haftung einer Person, die zwar nicht selbst Täter ist, aber willentlich zu der Rechtsverletzung eines Dritten beiträgt und dabei zumutbare Prüfpflichten verletzt. Im Internetrecht lange für Plattform- und Anschlussinhaber relevant.

Ein Browser-Sicherheitsmechanismus, der über eine hinterlegte Prüfsumme sicherstellt, dass eine extern geladene Datei wie ein Skript unverändert ist. Manipulierte oder ausgetauschte Dateien werden so blockiert.

Da moderne Software auf zahlreichen externen Bibliotheken und Diensten aufbaut, reicht eine einzige kompromittierte Komponente in der Lieferkette, um zahlreiche nachgelagerte Systeme zu gefährden - eine eigene, isolierte Absicherung schützt davor nicht vollständig.

Dazu zählen z. B. Verschlüsselung, Zugriffskontrollen, Backup-Konzepte und Mitarbeiterschulungen - der konkrete Umfang richtet sich nach Risiko und Stand der Technik, nicht nach einer starren Liste.

Der völkerrechtliche Grundsatz, dass die Gesetze eines Staates in der Regel nur innerhalb der eigenen Landesgrenzen gelten - bei US-Cloud-Diensten aber durch andere Gesetze durchbrochen werden kann.

Die technische Einstellung, mit welcher Verschlüsselungsstärke und welchen Verfahren eine Webseite Daten überträgt.

Die kleinen Text-Bausteine, in die ein Sprachmodell Text zerlegt, meist Wortteile. Das Modell verarbeitet den Text als Strom solcher Token, einen nach dem anderen.

Ein zeitbasiertes Einmalpasswort, das sich nach kurzer Zeit automatisch ändert und bei vielen Zwei-Faktor-Authentifizierungsverfahren zum Einsatz kommt.

Ein technisches Werkzeug, meist von Drittanbietern (z. B. Werbenetzwerken), das das Verhalten von Webseiten-Besuchern erfasst und auswertet.

Tracking-Pixel erfordern in der Regel eine informierte Einwilligung nach dem TDDDG, da sie Informationen im Endgerät des Nutzers auslesen oder speichern.

Eine Prüfung, ob im Zielland eines Datentransfers trotz vertraglicher Garantien (z. B. Standardvertragsklauseln) ein ausreichendes Schutzniveau tatsächlich gewährleistet ist, etwa mit Blick auf behördliche Zugriffsrechte.

Die neuronale Netzwerk-Architektur hinter den heutigen großen Sprachmodellen (LLMs) wie ChatGPT oder Claude. Sie verarbeitet Text über den sogenannten Attention-Mechanismus, der bestimmt, welche Wörter im Satz füreinander wichtig sind.

Grundsatz aus Art. 5 Abs. 1 lit. a DSGVO, wonach die Verarbeitung personenbezogener Daten für die betroffene Person nachvollziehbar und offen erfolgen muss, etwa durch klare Angabe, wer verantwortlich ist.

US-Supreme-Court-Urteil vom 29.06.2026 (Az. 25-332), das den for-cause-Kündigungsschutz für FTC-Commissioner kippte.

Plattformen müssen Meldungen anerkannter Trusted Flagger mit Priorität und ohne unangemessene Verzögerung bearbeiten - ein zentraler Baustein der DSA-Durchsetzung.

Der regelmäßige Bericht einer Datenschutzaufsichtsbehörde über ihre Arbeit, in dem auch entschiedene Fälle dargestellt werden.

Eine Umweltaussage steckt nicht nur in Sätzen. Auch Bilder, Symbole, Firmennamen, Produktnamen und Etiketten können sie enthalten. Gesetzlich vorgeschriebene Angaben zählen nicht dazu, denn die Aussage muss „rechtlich nicht verpflichtend“ sein.

Geltend machen können den Anspruch unter anderem Mitbewerber, qualifizierte Wirtschafts- und Verbraucherverbände sowie Industrie- und Handelskammern (§ 8 Abs. 3 UWG). Handelt ein Mitarbeiter oder Beauftragter, richtet er sich auch gegen den Inhaber des Unternehmens (§ 8 Abs. 2 UWG).

Das Gesetz spricht von einer „Unterlassungsverpflichtung“. Sie bindet den, der sie abgibt, und ist mit einer Vertragsstrafe verbunden. Vor der Abgabe empfiehlt sich rechtliche Beratung.

Auch unbeabsichtigte Verstöße (z. B. ein aus dem Internet kopiertes Bild ohne Lizenzprüfung) begründen Unterlassungs- und Schadensersatzansprüche - Unkenntnis der Rechtslage schützt nicht vor Abmahnung.

Oberstes Bundesgericht der USA.

Ein Programmierfehler, bei dem Software auf bereits freigegebenen Speicher zugreift. Angreifer können das ausnutzen, um Abstürze auszulösen oder eigenen Code auszuführen.

Eine Kennung, die der Browser bei jedem Seitenaufruf mitsendet und Programm, Version und Betriebssystem beschreibt. Sie dient technischen Zwecken, kann aber auch zur Wiedererkennung von Geräten beitragen.

Eine eindeutige Kennnummer für Unternehmen im innereuropäischen Geschäftsverkehr, die auf Rechnungen und teils im Impressum angegeben werden muss.

Der Verantwortliche trägt die Hauptverantwortung für die Einhaltung der DSGVO - er kann Aufgaben an einen Auftragsverarbeiter auslagern, bleibt aber gegenüber Betroffenen und Aufsichtsbehörden rechenschaftspflichtig.

Im VVT muss stehen: welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange und an wen weitergegeben verarbeitet werden. Kleine Unternehmen sind nur unter engen Voraussetzungen befreit.

Klagebefugnis qualifizierter Einrichtungen wie Verbraucherschutzverbände, die Rechtsverstöße im Interesse der Allgemeinheit gerichtlich verfolgen können, unter anderem im DSA- und DSGVO-Kontext. So lassen sich Ansprüche auch dort durchsetzen, wo einzelne Betroffene nicht selbst klagen.

Dazu zählen u. a. unterschwellige Beeinflussung, das Ausnutzen von Schutzbedürftigkeit, biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum zu Strafverfolgungszwecken (mit engen Ausnahmen) und staatliches Social Scoring.

Grundsatz des Datenschutzrechts, wonach die Verarbeitung personenbezogener Daten grundsätzlich verboten ist und nur dann erlaubt, wenn eine gesetzliche Grundlage oder eine Einwilligung sie ausdrücklich gestattet (Verbot mit Erlaubnisvorbehalt, Art. 6 DSGVO).

Die Schwarze Liste des UWG gilt nur für geschäftliche Handlungen gegenüber Verbrauchern. Wer ausschließlich an Unternehmen verkauft, fällt nicht darunter. Der allgemeine Schutz des UWG vor Irreführung gilt auch gegenüber sonstigen Marktteilnehmern.

Eine behördliche Nachprüfungsstelle, die im öffentlichen Vergaberecht Streitfälle über die Vergabe öffentlicher Aufträge entscheidet. Die Vergabekammern des Bundes sind beim Bundeskartellamt angesiedelt.

Vergleichende Werbung ist grundsätzlich erlaubt, muss aber objektiv, auf wesentliche und nachprüfbare Eigenschaften bezogen sein und darf den Mitbewerber nicht herabsetzen oder verwechslungsfähig darstellen.

Ein Beitritt zu genehmigten Verhaltensregeln kann als Nachweis für die Einhaltung datenschutzrechtlicher Pflichten dienen und schafft mehr Rechtssicherheit als eine rein individuelle Auslegung der DSGVO.

Die Idee, dass Intelligenz einen Körper braucht, der mit der Welt interagiert und Rückmeldung aus echten Handlungen bekommt. Ein Sprachmodell dagegen sieht die Welt nur als Text.

Veraltete TLS-Versionen (TLS 1.0/1.1) gelten als unsicher und sollten deaktiviert sein - ein gültiges Zertifikat allein sagt noch nichts über die verwendete Protokollversion oder Verschlüsselungsstärke aus.

Ein Mechanismus in ASP.NET-Webseiten, der den Zustand einer Seite (etwa Formularinhalte) zwischen zwei Aufrufen in einem versteckten Feld im Browser zwischenspeichert. Ist er nicht kryptografisch geschützt, lässt er sich manipulieren und für Angriffe missbrauchen.

„Very Large Online Platform“ — eine sehr große Online-Plattform nach Art. 33 DSA. Als VLOP gilt eine Plattform ab 45 Millionen aktiven Nutzern in der EU. Sie unterliegt verschärften DSA-Pflichten wie Systemrisiko-Analyse, unabhängigen Audits und einer Aufsichtsgebühr an die EU-Kommission.

Ein von WhatsApp bereitgestelltes Link-Format (wa.me/Nummer), das beim Anklicken direkt einen Chat mit der angegebenen Nummer öffnet, ohne dass beim bloßen Laden der Webseite Daten an WhatsApp übertragen werden.

Ein international anerkannter Kriterienkatalog, der festlegt, wie barrierefrei eine Webseite gestaltet sein muss.

Zugriff auf ein E-Mail-Postfach über den Browser. Bequem erreichbar, aber ohne zusätzliche Absicherung aus dem Internet leichter angreifbar als ein rein lokal genutzter Mail-Zugang.

Ein von Angreifern hochgeladenes Schadskript, das ihnen aus der Ferne Befehle auf dem Webserver ermöglicht, faktisch eine Hintertür.

Nach § 19 Absatz 5 UWG kann das Bußgeld nur im Rahmen einer koordinierten Durchsetzungsmaßnahme nach der Verordnung (EU) 2017/2394 verhängt werden. Für einen einzelnen Betrieb mit einer einzelnen Webseite ist daher die Abmahnung der wahrscheinlichere Weg. Das ist eine Einschätzung, keine Zusicherung.

Ein internes Modell der Umgebung, mit dem ein KI-System vorhersagen kann, wie sich die Welt bei einer Handlung verändert. Wichtig für Robotik und Systeme, die in einer echten Umgebung handeln.

Pflicht, bezahlte oder werbliche Inhalte eindeutig als Werbung zu kennzeichnen, unter anderem bei Influencer-Content. Die Kennzeichnung muss klar erkennbar und dauerhaft sichtbar sein; sie ist sowohl plattformrechtlich (DSA, § 6 DDG) als auch wettbewerbsrechtlich (UWG) relevant.

Die Wettbewerbszentrale ist einer der aktivsten und bekanntesten klagebefugten Verbände in Deutschland - ihre Abmahnungen betreffen häufig Online-Werbung, Kennzeichnungspflichten und Preisangaben.

Fehlt eine korrekte Widerrufsbelehrung oder ist sie fehlerhaft, verlängert sich die Widerrufsfrist auf bis zu zwölf Monate und 14 Tage - ein erhebliches Risiko für jeden Anbieter von Fernabsatz-Dienstleistungen.

Der gesetzliche Zeitraum (in der Regel 14 Tage), in dem Verbraucher einen online geschlossenen Vertrag ohne Angabe von Gründen rückgängig machen können.

Widerspricht jemand der Verwendung seiner Daten zu Werbezwecken, muss die Verarbeitung dafür sofort eingestellt werden - ein Abwägen des Unternehmens findet hier anders als bei sonstigen Widersprüchen statt.

Unabhängig davon besteht der Unterlassungsanspruch nach § 8 Absatz 1 Satz 2 UWG bereits dann, wenn eine unzulässige Handlung erst droht.

Ein Unternehmen, das Daten über die Zahlungsfähigkeit von Personen und Firmen sammelt und daraus Bonitätsauskünfte erstellt. Diese Verarbeitung stützt sich in der Regel auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO.

Ein fachlicher Zuarbeitsdienst des Deutschen Bundestags, der für Abgeordnete neutrale Ausarbeitungen und Sachstände zu Rechts- und Fachfragen erstellt. Diese Papiere sind keine Gesetze und keine Gerichtsentscheidungen, sondern unverbindliche Fachinformationen.

Eine gemeinsame Arbeitssitzung, in der ein Thema strukturiert und praxisnah erarbeitet wird - hier: ein Beratungstermin, bei dem Ergebnisse direkt mit dem Kunden durchgesprochen und umgesetzt werden.

Ein Security-Header, der verhindert, dass eine Webseite unbemerkt in eine fremde Seite eingebettet wird (Schutz vor sogenanntem Clickjacking).

Cross-Site-Scripting bezeichnet eine Sicherheitslücke, bei der Angreifer fremden Schadcode in eine Webseite einschleusen, der anschließend im Browser der Besucher ausgeführt wird. Damit lassen sich etwa Sitzungsdaten stehlen oder Eingaben manipulieren.

Eine bundeseigene GmbH, die quelloffene Arbeitsplatz-Software wie openDesk für Bund und Länder bereitstellt. Alleingesellschafter ist die Bundesrepublik Deutschland, dem sich schrittweise Bundesländer anschließen.

Eine Sicherheitslücke, die bereits ausgenutzt wird, bevor oder während der Hersteller einen Patch dafür veröffentlicht - dem Hersteller blieben faktisch null Tage Zeit zur Reaktion vor der ersten Ausnutzung.

Gegen Zero-Day-Lücken hilft kein rechtzeitiges Patchen, da noch kein Patch existiert - wirksamer Schutz besteht dann meist nur über zusätzliche Absicherungsebenen wie Web Application Firewalls oder Netzwerksegmentierung.

Die vier Kriterien: Das System steht allen Unternehmern unter transparenten, lauteren und diskriminierungsfreien Bedingungen offen. Die Anforderungen wurden mit Sachverständigen und Interessenträgern erarbeitet. Bei Verstößen kann das Siegel entzogen oder ausgesetzt werden. Die Überwachung führt ein unabhängiger Dritter durch. Ein Logo, das der Betrieb selbst vergibt, erfüllt das nicht.

Technische Aufzeichnung darüber, wer wann auf welche Daten zugegriffen hat; sie kann selbst personenbezogene Daten enthalten.

Verwaltungsrechtliches Druckmittel (nicht DSGVO-originär, sondern Verwaltungsvollstreckungsrecht der Länder), mit dem Behörden die Befolgung einer Anordnung erzwingen, indem bei Nichtbefolgung eine Geldzahlung angedroht und fällig gestellt wird.

Eine E-Mail-Adresse, die für eine Bestellbestätigung erhoben wurde, darf ohne eigenständige Rechtsgrundlage nicht einfach in einen Newsletter-Verteiler übernommen werden.

2FA schützt selbst dann noch vor Kontoübernahme, wenn das Passwort durch ein Datenleck oder Phishing kompromittiert wurde - eine der wirksamsten Einzelmaßnahmen gegen Credential-Stuffing.