Simpliant provides legal expertise and consulting in data protection and information security, supporting the implementation of organizational frameworks to manage data protection requirements, as self-described.

Simpliant

Simpliant provides data protection legal expertise, consulting, and supports organizations in implementing data protection requirements under GDPR. It specializes in external data protection and information security officer services, legal advice, and technology integration.

Simpliant | 414 followers on LinkedIn. We help you achieve sustainable Data Protection and Information Security compliance. | Simpliant stands for sophisticated compliance and privacy risk management. Our solutions take into account the context of your organisation and avoid unnecessary overhead. We assess an appropriate balance between risk minimisation and cost adequacy while keeping your strategic business goals in mind.

Boris Arendt

Wir bringen Unternehmen, Menschen und das Klima voran.

Steven Bressner

Co-Founder at Simpliant Technologies

Oscar Stahlberg

Management-Assistent at Simpliant

Noah Groß

Wie wird der Digital Operational Resilience Act (DORA) die IT-Vertragsgestaltung in der Finanzbranche verändern? Die Vorgaben des Digital Operational Resilience Act (DORA), der bereits am 17.01.2024 in Kraft treten wird, verpflichtet nicht nur viele Unternehmen aus der Finanzbranche, sondern auch Drittdienstleister im IT-Bereich dazu bestehende Verträge anzupassen. Aus Art. 28 - 30 DORA ergeben sich dabei erstmals verbindliche Mindestinhalt für Auslagerungsverträge: Dienstleistungsbeschreibung: Klare Definition aller zu erbringenden IKT-Dienste und Funktionen, einschließlich der Bedingungen für das Outsourcing dieser Dienste. Standorte der Dienstleistungserbringung: Festlegung der geografischen Standorte, an denen Dienstleistungen erbracht und Daten verarbeitet werden, mit einer Verpflichtung zur Benachrichtigung bei Änderungen dieser Standorte. Datenschutz und Sicherheit: Gewährleistung der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit der Daten, einschließlich spezifischer Maßnahmen zum Schutz personenbezogener Daten. Datenzugriff und -wiederherstellung: Regelungen zum Zugriff auf und zur Wiederherstellung von Daten in einem benutzerfreundlichen Format bei Beendigung der Geschäftsbeziehung oder Insolvenz des Dienstleisters. Unterstützung bei IKT-Vorfällen: Verpflichtung des Dienstleisters, im Falle eines IKT-Vorfalls Unterstützung zu leisten, entweder kostenfrei oder zu vorher festgelegten Kosten. Erfahren Sie mehr zur Vorbereitung auf DORA in unserem Folgebeitrag: https://lnkd.in/ekPhSpEq

🔒 DORA: Neue IT-Sicherheitsvorschriften für den Finanzsektor 🔒 DORA (Digital Operational Resilience Act) soll die Fähigkeit des Finanzsektors stärken, mit IT-Störungen umzugehen – sei es durch Cyberangriffe oder Systemausfälle. Ziel von DORA ist es, sicherzustellen, dass Banken, Zahlungsdienstleister, Versicherer und ähnliche Institutionen sowie ihre Technologieanbieter besser auf Störungen ihrer IT-Systeme vorbereitet sind. Dies ist wichtig, da Finanzsysteme stark von Technologie abhängig sind und jeder Cyberangriff oder Systemausfall große Auswirkungen auf die Dienstleistungen haben kann. Die Verordnung im Januar 2023 in Kraft getreten und Organisationen haben nur noch bis Januar 2025 Zeit, die Vorgaben vollständig umzusetzen. DORA verpflichtet folgenden Maßnahmen im Bereich der Informations- und Kommunikationstechnologie (IKT): Risikomanagement 🛡️ DORA legt Verfahren zur Identifizierung und Minimierung von IKT-Risiken fest, um ein ordnungsgemäßes Risikomanagement sicherzustellen. Dies umfasst alles von der Netzwerksicherheit bis hin zur regelmäßigen Aktualisierung der Software. Vorfallsberichterstattung ⚠️ Die Verordnung definiert Meldeverfahren und Prozesse zur Überwachung, Erkennung und Berichterstattung von Cyber-Bedrohungen im Finanzsektor. Digital Operational Resilience Testing🧪 DORA verlangt von Finanzunternehmen regelmäßige Sicherheitstests, einschließlich Penetrationstests und Schwachstellenanalysen, durchzuführen, um sich auf IKT-Vorfälle vorzubereiten. Überwachungsrahmen für kritische Drittdienstleister🤝 Es müssen außerdem Prozesse zur Überwachung kritischer IKT-Drittdienstleister eingeführt werden. Es besteht die Verpflichtung zum Informationsaustausch und der gemeinsamen Durchführung von Notfallübungen zwischen Unternehmen. Das übergeordnete Ziel? Die Schaffung eines sichereren, widerstandsfähigeren Finanzsektors in der gesamten EU, der auf digitale Bedrohungen vorbereitet ist und sich schnell von IT-Störungen erholen kann. Mehr dazu in unserem Artikel: https://lnkd.in/gKFGhV3s #DORA #DigitalOperationalResilienceAct #CyberSecurity #FinTech #RiskManagement #EURegulations #Compliance #IKT

🔍 KI-VO: Anbieter oder Betreiber? Einordnung nach den verschiedenen Rollen Ob ein Unternehmen als Anbieter oder Betreiber nach der KI-VO eingestuft wird, hat erhebliche Auswirkungen auf die rechtlichen Verpflichtungen. Hier die wichtigsten Abgrenzungen: 👉 KI-System oder herkömmliche Software? Herkömmliche Software fällt nicht unter die KI-VO. Entscheidend ist, ob das System die Fähigkeit besitzt, eigenständig aus Eingaben abzuleiten und darauf aufbauend "Entscheidungen" zu treffen. 👉 Anbieter oder Betreiber? Ist das Unternehmen selbst Entwickler eines KI-Systems oder verwendet es eine bereits bestehende Lösung? Aus der Einordnung ergeben sich jeweils unterschiedliche rechtliche Verpflichtungen. Anbieter sind stärker reguliert, während Betreiber das KI-System lediglich verwenden, ohne es selbst entwickelt zu haben. 👉 Grad der Kritikalität Die Verordnung verfolgt einen risikobasierten Ansatz. Je nachdem, wie risikotbehaftet das eingesetzte KI-System ist – von „verbotenen Praktiken“ bis hin zu „Hochrisiko-Systemen“ – variieren die umzusetzenden Anforderungen. 👉 Konkretes Fallbeispiel: Einsatz eines Unternehmens-Chatbot Der Einsatz eines GPT-Chatbot für ihre Kundenkommunikation ohne weitergehende Anpassung ("GPT-Wrapper"), bedeutet, dass das Unternehmen Betreiber und nicht Anbieter ist. Zum Anbieter wird das Unternehmen aber im Falle einer eigenentwickelten Anpassung des Modells. Mehr dazu in unserem Beitrag: 🔗 https://lnkd.in/dccEhZfA #KI #KIVerordnung #Datenschutz #Recht #KünstlicheIntelligenz #Compliance #AI #Digitalisierung #Chatbots #Unternehmen

🌐 Webinar: AI in BIOPHARMA Marketing – Balancing Opportunities & Regulation On September 24th at 1 PM CEST, Boris Arendt ( Simpliant ) will join Jan Schulte ( Magnolia ), Christina Schiffler ( IBM iX DACH ), and Jan Hulshoff Pol (Berlin-Chemie) for the webinar, "AI in BIOPHARMA Marketing - Balancing Opportunities & Regulation." We’ll discuss the exciting potential of generative AI in marketing, along with the risks and legal considerations that must be addressed. The event will be moderated by Jan Pilhar ( IBM ). We look forward to a dynamic discussion and invite you to register via the link below! 💡👥 📅 Date: September 24th 🕐 Time: 1 PM CEST

Am 1. August 2024 ist die neue KI-Verordnung in Kraft getreten. Die Verordnung gilt ausschließlich für den Einsatz von KI-Systemen und nicht für klassische Software. KI-Systeme zeichnen sich dadurch aus, dass sie in einem gewissen Maße autonome Ableitungen machen können. Was bedeutet das für Unternehmen? Unternehmen sollten den Einsatz von KI-Systemen sorgfältig planen und dokumentieren, um die Anforderungen der KI-Verordnung zu erfüllen. In den nächsten sechs Monaten werden ergänzende Leitlinien erwartet, die weitere Klarheit für die Umsetzung bringen werden. Wichtige Fristen: 🔹 02. Februar 2025 (6 Monate nach Inkrafttreten): Verbotene KI-Systeme müssen abgeschaltet sein, und die allgemeinen Vorschriften der Verordnung müssen umgesetzt werden. 🔹 02. August 2025 (12 Monate nach Inkrafttreten): Die Verpflichtungen für GPAI-Systeme (General Purpose AI) müssen erfüllt werden (mit Ausnahme von Artikel 101 KI-VO); der Sanktionsmechanismus der Verordnung tritt in Kraft. Weitere Informationen zur KI-Verordnung und den Anforderungen finden Sie in unserem Artikel: https://lnkd.in/d4FJhfeB #KIVerordnung #KISysteme #Compliance #Unternehmen #Datenschutz

Nach der Ausgangslage der DSGVO muss Geschäftsführung die geforderten Datenschutzmaßnahmen umsetzen, während dem Datenschutzbeauftragten eine überwachende Rolle zukommt. Die Datenschutzaufgaben können aber - z.B. an einen Datenschutzkoordinator - delegiert werden. Eine klare Aufbauorganisation mit definierten Rollen und Verantwortlichkeiten kann dadurch die (persönlichen) Haftungsrisiken reduzieren und die Geschäftsleitung im Datenschutz operativ entlasten. Mehr dazu in unserem Insights-Artikel: https://lnkd.in/dcHsbM4Q

𝗨𝗽𝗱𝗮𝘁𝗲 𝘇𝘂𝗺 𝗡𝗜𝗦𝟮-𝗨𝗺𝘀𝗲𝘁𝘇𝘂𝗻𝗴𝘀𝗴𝗲𝘀𝗲𝘁𝘇 🇩🇪 Deutschland bereitet sich auf die Umsetzung der EU-NIS2-Richtlinie in nationales Recht vor. Das geplante NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG) führt zu weitreichenden Änderungen im BSI-Gesetz. Ob das Gesetz wie vorgesehen im Oktober 2024 in Kraft treten kann, ist derzeit ungewiss. Obwohl das Gesetz vor der Sommerpause das Bundeskabinett passiert hat, wird sich der Bundestag aufgrund der noch laufenden Sommerpause voraussichtlich erst im September damit befassen. Das Bundesinnenministerium rechne nach Medienberichten erst im Frühjahr 2025 mit einem Inkrafttreten. Dennoch sollten sich betroffene Unternehmen spätestens jetzt mit den neuen Anforderungen vertraut machen. Die wichtigsten Neuerungen im Überblick: 🌐 𝗘𝗿𝘄𝗲𝗶𝘁𝗲𝗿𝘁𝗲𝗿 𝗚𝗲𝗹𝘁𝘂𝗻𝗴𝘀𝗯𝗲𝗿𝗲𝗶𝗰𝗵: Mehr Unternehmen und Sektoren werden in den Anwendungsbereich aufgenommen. 🛡️ 𝗦𝗶𝗰𝗵𝗲𝗿𝗵𝗲𝗶𝘁𝘀𝗮𝗻𝗳𝗼𝗿𝗱𝗲𝗿𝘂𝗻𝗴𝗲𝗻: Einführung strenger technischer und organisatorischer Maßnahmen. 🚦 𝗥𝗶𝘀𝗶𝗸𝗼𝗺𝗮𝗻𝗮𝗴𝗲𝗺𝗲𝗻𝘁: Verpflichtung zur Implementierung umfassender Risikomanagementsysteme. ⚠️ 𝗕𝗲𝗿𝗶𝗰𝗵𝘁𝘀𝗽𝗳𝗹𝗶𝗰𝗵𝘁𝗲𝗻:Schnellere und strengere Meldepflichten bei Sicherheitsvorfällen. 👥 𝗩𝗲𝗿𝗮𝗻𝘁𝘄𝗼𝗿𝘁𝘂𝗻𝗴 𝗱𝗲𝗿 𝗚𝗲𝘀𝗰𝗵ä𝗳𝘁𝘀𝗳ü𝗵𝗿𝘂𝗻𝗴: Regelungen zur Haftung von Geschäftsführern sowie Schulungspflichten. 💰 𝗦𝗮𝗻𝗸𝘁𝗶𝗼𝗻𝗲𝗻: Erhebliche Geldstrafen bei Nichteinhaltung der Vorschriften. Erfahren Sie in unseren Insights mehr über die Auswirkungen dieser neuen Regelungen 👉 https://lnkd.in/eikGtSbq

Ein kleiner Überblick über die jüngsten EU-Digitalgesetze und unsere Beiträge hierzu (Ausschnitt): • AI Act: Reguliert die Entwicklung und Nutzung von KI-Systemen und legt Compliance-Anforderungen fest. ( https://lnkd.in/diXhYFjN ) • Digital Markets Act (DMA): Schafft Regeln zur Sicherstellung fairer Wettbewerbsbedingungen auf großen digitalen Plattformen. • Digital Services Act (DSA): Erhöht Transparenz und legt Pflichten für Online-Plattformen fest, um Nutzer besser zu schützen. ( https://lnkd.in/dGj-e2X8 ) • Data Act: Regelt die Nutzung und den Zugang zu Daten und fördert deren Interoperabilität. ( https://lnkd.in/dPmjgMQd ) • Data Governance Act (DGA): Regelt die Rahmenbedingungen für den Zugang zu und die Nutzung von Daten. • NIS 2 Directive: Setzt strengere Anforderungen an die Cybersicherheit in kritischen Sektoren. ( https://lnkd.in/eikGtSbq )

Die Änderungen der Produkt-Features bei ChatGPT erfolgen schnell, wodurch es schwierig ist, den Überblick zu behalten. Nach Art. 25 DSGVO sollte Privacy by Design standardmäßig bedeuten, dass ein Opt-out die Voreinstellung ist. Bei ChatGPT müssen Sie jedoch ausdrücklich widersprechen, damit Ihre Daten nicht für das Modelltraining verwendet werden. So geht's:

Many thanks for the great MasterTalk at IBM iX DACH , where we discussed the chances and risks of GenAI together with experts from industry, consulting and product. A special thank you to Jan Pilhar for his excellent moderation and to Jan Schulte , Christina Schiffler and Jan Hulshoff Pol for their valuable insights. We look forward to the next event in September, this time as a webinar. Stay tuned.

SIMP

EU:SIMPLIANT

Simpliant