Auslegungssache – der c't-Datenschutz-Podcast

Fünf Jahre DSGVO - was hat sie gebracht?

Fri, 02 Jun 2023 06:00:00 +0200

Mit Dr. Astrid Auer-Reinsdorff, Frederick Richter, Holger Bleich und Joerg Heidrich

Aufzeichnungen der Tagung "Privacy Ring: Im Normendschungel der EU" vom 26. Mai 2023

Wie der EuGH die DSGVO präzisiert

Fri, 19 May 2023 06:00:00 +0200

Mit Prof. Alexander Golland, Holger Bleich und Joerg Heidrich Seit nunmehr fünf Jahren entfaltet die europäische Datenschutz-Grundverordnung (DSGVO) ihre Wirkung. Wie damals von Experten prognostiziert, bedarf sie an vielen Stellen der Auslegung von Gerichten, weil Begriffe unklar sind oder Sachverhalte nicht eindeutig ins DSGVO-Schema passen. Sind sich Gerichte unsicher, befragen sie den Europäischen Gerichtshof (EuGH), der dann in Urteilen abwägend die DSGVO interpretiert. Dutzende solcher Verfahren liegen derzeit am höchsten EU-Gericht zur Entscheidung vor. Anfang Mai hat der EuGH gleich drei bedeutsame Fälle entschieden. Joerg und Holger erläutern und diskutieren die Sacherverhalte und Urteile. Kompetent zur Seite steht ihnen dabei diesmal Alexander Golland, Professor für Wirtschaftsrecht an der an der Aachen University of Applied Sciences. Alexander lehrt, forscht und publiziert schwerpunktmäßig zum deutschen und europäischen Datenschutzrecht. Im Urteil "Österreichische Post AG" (Az.: C-300/21) geht es um die Frage, ob und ab wann ein Verstoß gegen Vorschriften aus der DSGVO auch einen Schaden darstellen und somit Ansprüche auf Schadensersatz begründen könnte. Sie ist sehr relevant, da der Schadensersatz nach Art. 82 DSGVO für Unternehmen ein großes finanzielles Risiko darstellt, etwa, wenn sie durch ein Leak Daten vieler Kunden fahrlässig preisgeben. In der Rechtssache C-487/21 hat sich der EuGH mit dem Recht Betroffener befasst, eine "Kopie" der personenbezogener Daten zu erhalten: Wie weit geht der DSGVO-Begriff der "Kopie"? Genügt es für Unternehmen, Datenbankauszüge zu schicken, oder müssen tatsächlich exakte Auszüge der gespeicherten Daten herausgerückt werden? Der EuGH wollte sich nicht ganz festlegen und stellte auf die Umstände ab, wie im Podcast ausführlich erläutert wird. Schließlich hatte auch das Verwaltungsgericht Wiesbaden den EuGH beschäftigt (Az. C-60/22): Es stellte die Frage, ob eine unvollständige Rechenschaftspflicht eines Verantwortlichen zum Beispiel durch ein fehlendes oder unvollständiges Verzeichnis der Verarbeitungstätigkeiten dazu führt, dass die Datenverarbeitung insgesamt unrechtmäßig erfolgt ist - mit allen Konsequenzen. Dies verneinte der EuGH und brachte damit ein wenig Entschärfung in die Sanktionierung von fehlender Datenschutz-Bürokratie nach DSGVO.

Sweet Smart Home

Fri, 05 May 2023 06:00:00 +0200

Mit Dr. Marc Störing, Holger Bleich und Joerg Heidrich Die Gebäude-Automatisierung ist endgültig im privaten Zuhause angekommen: Rollläden öffnen und schließen von selbst, Helligkeitssensoren bestimmen, wann das Licht angeht, Bewegungsmelder kommunizieren mit den Heizkörpern, und die Wohnungstür öffnet sich per Fingertip in der Smart-Home-App. Sprachassistenten wie Alexa und Google Assistant erschließen die Steuerung des Smart Homes mit gesprochenen Kommandos. Und das TV-Gerät registriert die Gewohnheiten beim Medienkonsum. All die Sensoren generieren teils personenbezogene Daten, die gespeichert und verarbeitet werden. In der Summe lässt sich daraus eine Menge schließen, was datenschutzrechtliche Fragen aufwirft. Darüber sprechen in Episode 85 des c't-Datenschutz-Podcasts Holger und Joerg mit ihrem Gast Dr. Marc Störing. Der Rechtsanwalt ist Partner in der internationalen Kanzlei Osborne Clarke und dort auf IT-nahe datenschutzrechtliche Beratung spezialisiert. Privat hat Marc ein Faible für Heimautomatisierung - im Podcast erzählt er denn auch zunächst von seinen eigenen Projekten. Im Gespräch klären die Drei, wo welche Daten anfallen können und wie sie gespeichert werden. Anschließend diskutieren sie, welche Rechtsgrundlagen der DSGVO eine Verarbeitung rechtfertigen könnten, sofern nicht ausschließlich das familiäre Umfeld erfasst ist (was praktisch nie der Fall ist). Es geht auch um grundsätzliche Fragen nach Erforderlichkeit, Zweckbindung und Speicherdauer im Smart-Home-Bereich. Ganz andere Problemstellungen entstehen beim "Smart Building" im geschäftlichen Umfeld. Hier geht es etwa um Verantwortlichkeiten, Beschäftigtendatenschutz und Auftragsverarbeitungen spezialisierter Dienstleister. Auch dieses weite Feld wird im Podcast angerissen.

Highlights und Lowlights eines Datenschutz-Aufsehers

Fri, 21 Apr 2023 06:00:00 +0200

Mit Dr. Stefan Brink, Holger Bleich und Joerg Heidrich Gibt es in Deutschland einen "Datenschutztourismus"? Suchen sich Unternehmen gezielt Standorte in Bundesländern, deren Aufsichtsbehörden die Datenschutz-Grundverordnung (DSGVO) eher lax auslegen? Diese Frage bewegt die einschlägige Community, und deshalb auch den c't-Datenschutz-Podcast Auslegungssache. Holger und Joerg sprechen darüber kontrovers mit Dr. Stefan Brink. Der ehemalige Datenschutzbeauftragte Baden-Württembergs ist Gründer und geschäftsführender Direktor des Wissenschaftlichen Instituts für die Digitalisierung der Arbeitswelt, wida, in Berlin. Brink nimmt in der Podcast-Episode kein Blatt vor den Mund und zieht Bilanz seiner Amtszeit (2016 bis Ende 2022). Brink gibt sich als Verfechter des föderalen Systems bei der Datenschutzaufsicht. Probleme kann er nicht erkennen. Man bekomme "als Unternehmen Rechtssicherheit von der Datenschutzbehörde, wenn man sie befragt". Man müsse nur darauf bestehen, Auskünfte zu bekommen. "Der Rest ist dann Mimimi in der Form: Ich kenne aber eine andere Aufsichtsbehörde, die sieht das freundlicher." Es gehe dann nicht mehr um Rechssicherheit, sondern um "Wünsch dir was". Harsche Kritik übt Brink am gemeinsamen Gremium der deutschen Datenschutzbehörden, der Datenschutzkonferenz (DSK): "Die DSK ist für alle Teilnehmer eine Zumutung. Es gibt wenig, was mich in den vergangenen Jahre so betrübt hat, wie die Zusammenarbeit in der DSK. Als ich mich entschlossen habe, den Amtshut abzulegen, war das kein Faktor, der mich hat zögern lassen." Immherin habe sich "die DSK hat in den letzten Jahren gut zusammengerauft. Wir sollten daran arbeiten, dass die DSK-Entscheidungen verbindlicher werden, das Gremium weiter institutionalisieren". Brink plädiert dafür, die DSK "als übergeordnete Instanz zu stärken". Die Frage werde sein: "Bestehen wir auf einstimmigen Beschlüssen der DSK, oder lassen wir Mehrheitsbeschlüsse zu, an die sich alle Aufsichten halten müssen. Das wird spannend, weil dann auch die durch die DSGVO garantierte Unabhängigkeit der Behörden berührt würde. Es ist der richtige Ansatz, dies durch Bundesgesetzgebung zu unterstützen."

Die unberührte DSGVO?

Thu, 06 Apr 2023 14:15:20 +0200

Mit Dr. Winfried Veil, Holger Bleich und Joerg Heidrich

"Dataprotection Landscape" von Dr. Winfried Veil und Prof. Stefan Heinemann

Pressemitteilung der italienischen Datenschutzbehörde zum Verbot von ChatGPT (italienisch)

Zertifizierter Datenschutz

Fri, 24 Mar 2023 07:00:00 +0200

Mit Dr. Sebastian Kraska, Holger Bleich und Joerg Heidrich

c't-Artikel von Joerg: Was Sie beachten sollten, bevor Sie eine Perso-Kopie weitergeben

Fotos, Videos und der Datenschutz

Fri, 10 Mar 2023 07:00:00 +0200

Mit Dr. Diana Ettig, Holger Bleich und Joerg Heidrich

Webinar und Präsentation zum Thema mit Diana bei der Stiftung Datenschutz

Von Diana in der Episode empfohlene Infos zum Thema der Datenschutzbehörde Rheinland-Pfalz

E-Marketing-Jura Teil 2 + Amazons Mitarbeiterkontrolle

Fri, 24 Feb 2023 07:00:00 +0200

Mit Dr. Martin Schirmbacher, Christian Wölbert, Holger Bleich und Joerg Heidrich

Pressemitteilung Verwaltungsgericht Hannover: Datenerhebung bei Amazon in Winsen ist rechtmäßig

heise.de: Leistungsüberwachung - Amazon gewinnt vor Gericht gegen Datenschutzbehörde

Baustelle Gesundheitsdaten

Fri, 10 Feb 2023 07:00:00 +0200

Mit Peter Schaar, Holger Bleich und Joerg Heidrich

Buch: Peter Schaar, Diagnose Digital-Desaster, Ist das Gesundheitswesen noch zu retten?

heise online: 300-Millionen-Hack: CCC verlängert Laufzeit der TI-Konnektoren per Software

heise online: Gesundheitsdatenraum - EU-Kommission will E-Patientenakte in groß für alle

E-Marketing-Jura - Teil 1

Fri, 27 Jan 2023 07:00:00 +0200

Mit Dr. Martin Schirmbacher, Holger Bleich und Joerg Heidrich

Dr Martin Schirmbacher

Liste mit Urteilen zum E-Mail-Marketing

Folge 34 von des Podcasts härting|fm mit der LfD Niedersachsen Barbara Thiel

Risikobasierter Rück- und Ausblick

Fri, 13 Jan 2023 07:00:00 +0200

Mit Dr. Thomas Schwenke, Holger Bleich und Joerg Heidrich

Rechtsbelehrung-Podcast von Marcus Richter und Thomas Schwenke

Neues zum Stand der Technik

Fri, 16 Dec 2022 07:00:00 +0200

Mit Karsten Bartels, Holger Bleich und Joerg Heidrich

Informationen von TeleTrusT zum "Stand der Technik" inklusive der jeweils aktuellen Handreichung dazu

Kreative KI

Fri, 02 Dec 2022 07:00:00 +0200

Mit Jo Bager, Andrea Trinkwalder, Holger Bleich und Joerg Heidrich

c't-Artikel aus Ausgabe 25/22: KI-Bildgeneratoren: Was sie können und wie man sie einsetzt

Pressemitteilung zum 800.000-Euro-Bußgeld der CNIL gegen Discord (englisch)

Recruiting trotz Datenschutz

Fri, 18 Nov 2022 07:00:00 +0200

Mit Nina Diercks, Holger Bleich und Joerg Heidrich

Diercks Digital Recht - Blog von Nina Diercks

Couragierte Enttäuschungsprophylaxe

Fri, 04 Nov 2022 07:00:00 +0200

Mit padeluun, Holger Bleich und Joerg Heidrich In der neuen Episode der Auslegungssache gibt sich ein junggebliebenes Datenschutz-Urgestein die Ehre: padeluun ist zu Gast im c't-Datenschutz-Podcast. Seit 40 Jahren engagiert sich der Künstler und Netzaktivist aus Bielefeld mit Aktionen und im Verein Digitalcourage für Bürgerrechte und den Erhalt der Privatsphäre in der vernetzten Welt. Zunächst beleuchtet Joerg im "Bußgeld der Woche" die jüngste 20-Millionen-Strafe gegen das US-Unternehmen Clearview AI. In der Diskussion mit Holger und padeluun herrscht schnell Konsens darüber, dass die biometrische Erfassung von Personen ohne deren Einwilligung, wie Clearview AI sie betreibt, ein besonders schwerer Verstoß gegen Datenschutzrecht ist. padeluun erläutert, warum und in welchen Formen er sich seit langer Zeit gegen biometrische Datenverarbeitung wendet. Im Gespräch plaudert der Aktivist dann darüber, was ihn außerdem umtreibt und seine Motivation erhält. padeluun beklagt die Entwicklung hin zu zentralen Kommunikationsstrukturen. Es sei schlecht für den Datenschutz und eine Gefahr für die Demokratie, wenn gewinnorientierte Plattformen wie Meta in der Hand weniger seien. Die Übernahme von Twitter durch Elon Musk habe das nur auf die Spitze getrieben. Das Fediverse mit all seinen Anwendungen zeige, dass dezentrale, verteilte Instanzen genauso gut funktionieren können - ohne die Nachteile, die große Betreiber mit sich bringen. Sein Verein Digitalcourage liefert mit den öffentlich zugänglichen Diensten Beispiele dafür. So betreibt er eine Mastodon- und Peertube-Instanz. Bekannt wurde Digitalcourage aber eher wegen einiger spektakulärer Aktionen sowie die alljährliche Verleihung der Big-Brother-Awards. Jüngst machte der Verein Schlagzeilen, weil er Klage gegen die Deutsche Bahn einreichte. Der Vorwurf: Die App DB Navigator setze ohne Wissen und Einwilligung der Nutzenden Werbetracker ein. === Anzeige / Sponsorenhinweis === Der Bundesverband der Arzneimittel-Hersteller e.V. (BAH) ist der mitgliederstärkste Branchenverband der Arzneimittelindustrie in Deutschland und vertritt global agierende Arzneimittel-Hersteller ebenso aktiv wie den breit repräsentierte Mittelstand. Thematische Insights bekommen Sie im neuen Podcast "Gesunde Perspektiven". Jetzt abonnieren! https://www.bah-bonn.de/infothek/podcast-gesunde-perspektiven/ === Anzeige / Sponsorenhinweis Ende ===

Betroffen vor Gericht

Fri, 21 Oct 2022 06:00:00 +0200

Mit Dr. Diana Ettig, Holger Bleich und Joerg Heidrich Die europäische Datenschutz-Grundverordnung (DSGVO) gewährt Personen, deren Daten erhoben und verarbeitet werden, viele eigene Rechte. Diese sogenannten "Betroffenenrechte" finden sich in den Artikeln 12 bis 20 der DSGVO. Beispielsweise gibt die DSGVO vor, welche Informationen Verantwortliche den Betroffenen in welcher Form geben müssen (Art. 12). Art. 15 regelt den Auskunftsanspruch, außerdem geht es noch um das Recht auf Löschung der Daten sowie um Übertragbarkeit von einem Dienst zum anderen. Gänzlich neu im Vergleich zu älteren Gesetzen wie dem Bundesdatenschutzgesetz (BDSG-alt), billigt Art. 82 DSGVO Betroffenen einen immateriellen Schadenersatzanspruch zu. Genau diese Regelung führt derzeit zu Massenabmahnungen aus Bagatellverstößen heraus. Im c't-Datenschutz-Podcast sprechen Joerg und Holger über die gesetzlichen Grundlagen und die aktuellen Entwicklungen dazu in der Praxis. Ihnen kompetent zur Seite steht in der aktuellen Episode 72 Diana Ettig. Die promovierte Rechtsanwältin vertritt für die Kanzlei Spirit Legal freischaffend ("off counsel") unter anderem Mandanten in Datenschutz-Sachen vor Gericht. Diana berichtet im Podcast von ihren Erfahrungen in Prozessen und erläutert die aktuelle Rechtssprechung anhand konkreter Urteile. Ihrer Beobachtung nach hat sich in einigen Bereichen bereits eine gefestigte Rechtssprechung ("Case Law") herausgebildet. Vieles sei aber noch im Fluss, beispielsweise bei der Bewertung von Schadenersatzansprüchen aus DSGVO-Verstößen heraus.

Datenschutz-Fundamentalismus?

Fri, 23 Sep 2022 06:00:00 +0200

Mit Dr. Thilo Weichert, Holger Bleich und Joerg Heidrich

Spiegel-Kolumne von Sascha Lobo: "Der Fortschritt und seine Feinde" (7.9.2022)

Text auf netzpolitik.org von Thilo Weichert: "Replik auf Sascha Lobo: Datenschutz ist unentbehrlich" (9.9.2022)

Datenschutz in der Schule

Fri, 09 Sep 2022 06:00:00 +0200

Mit Daniel Sandvoß, Holger Bleich und Joerg Heidrich Mittlerweile hat an allen deutschen Schulen das neue Schuljahr begonnen. Aus diesem Anlass widmen sich Holger und Joerg in der neuen Folge dem Datenschutz in der Schule. Kompetent zur Seite steht ihnen dabei Dr. Daniel Sandvoß. Der Jurist lehrt als Hochschuldozent und übernahm 2018 die Leitung des Instituts für Digitalisierung und Datenschutz ID2. Daniel hat zum Thema Datenschutz und Schule promoviert und war an der Entwicklung der niedersächsischen Schulcloud beteiligt. Nach Ansicht von Daniel steht es um den den Datenschutz in Schulen nicht gut. Er vergleicht die Situation mit einem halb eingerissenen Bauklötzchenturm, gar einem "Trümmerhaufen", dem die Baumeister fehlen. Vieles, was die DSGVO fordert, können Schulen derzeit nicht umsetzen. Insbesondere die Dokumentationspflichten würden nicht erfüllt; es mangele an Verarbeitungsverzeichnissen, für die Risikoanalysen nötig wären. Daniel betont, dass in Schulen mit besonders sensiblen Daten nach Art. 9 DSGVO hantiert werde. Im Aufklärungsuntericht etwa geht es auch um sexuelle Orientierung, im Relegionsunterricht um Religionszugehörigkeit, und im Politikunterricht um politische Ausrichtung. Meist handelt es sich um die Verarbeitung von Daten Minderjähriger, was die Lage noch brisanter macht. Dem gegenüber stehen nach Daniels Darstellung überforderte Schulleitungen, die gemäß Datenschutzrecht als Verantortliche Stellen für die Datenverarbeitung fungieren, oft, ohne es zu wissen. Von den Kommunen erhalten Schulen oft wenig konkrete Unterstützung. Zwar drohen keine Bußgelder, weil Schulen öffentliche Stellen sind. Allerdings können Aufsichtsbehörden Verfügungen oder Anordnungen aussprechen, etwa Verbote des Einsatzes bestimmter Software.

Vorsicht Kamera!

Fri, 26 Aug 2022 06:00:00 +0200

Mit Dr. Nils Christian Haag, Holger Bleich und Joerg Heidrich

DSK-Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (PDF, Stand: Juli 2020)

LfDI Niedersachsen: Vorlagen für Hinweisschilder zur Videoüberwachung

c't-Artikel "Vorsicht, Kamera!" von Holger und Joerg (€)

Umgang mit Kundenprofilen

Fri, 12 Aug 2022 06:00:00 +0200

Mit David Pfau, Holger Bleich und Joerg Heidrich Die niedersächsische Datenschutzbeauftragte Barbara Thiel hat Ende Juli ein praxisrelevantes Verfahren rund um die Auswertung, Anreicherung und Weitergabe von Kundendaten abgeschlossen. 900.000 Euro Bußgeld soll die Hannoversche Volksbank bezahlen, weil sie ohne Einwilligung das Nutzungsverhalten von Kunden analysiert haben und dazu einen Dienstleister herangezogen haben soll. Die Ergebnisse der Analyse hat die Bank laut Aufsichtsbehörde mit Daten einer Wirtschaftsauskunftei abgeglichen und mit Zusatzinformationen angereichert. Ziel sei gewesen, für bestimmte Werbeformen empfängliche Kunden herauszufiltern. Dieses Verfahren ist für den c't-Datenschutz-Podcast Anlass, einmal einen Blick auf den Umgang mit Kundendaten- und Profilen im Datenschutz zu werfen. Holger und Joerg haben für die Episode 68 deshalb David Pfau eingeladen. David ist "Head of Data & Privacy" bei der conreri digital development GmbH. Der Wirtschaftspsychologe gilt als ausgewiesener Datenschutzexperte und berät Unternehmen der Medien- und Digitalbranche. Zunächst besprechen die drei, wie und wo Profilbildung in der DSGVO definiert ist und welche Rechtsgründe es dafür geben kann. Unweigerlich landet man da beim recht unbestimmten "berechtigten Interesse" des Verantwortlichen, also dem Art. 6. Abs. 1 lit f DSGVO, der von Unternehmen regelmäßig herangezogen wird, um der individuellen Einwilligung jedes Kunden zu entgehen. Doch auch das "berechtigte Interesse" rechtfertigt nicht jede Verarbeitung von Kundendaten, wie David betont. Einem freizügigen Umgang mit Kundendaten steht auch die Zweckbindung entgegen, die in Art. 5 DSGVO festgeschrieben ist. David empfiehlt Unternehmen, sich schon bei der Erhebung von Informationen genau mit dem beabsichtigten Zweck auseinanderzusetzen und ihn möglichst weit zu fassen. Insbesondere, wenn Kundendaten später angereichert oder zum Profiling genutzt werden sollen, wird schnell die Grenze des rechtlich Zulässigen erreicht, die David ausführlich erläutert.