Mit Carolin Loy, Holger Bleich und Joerg Heidrich
In Folge 136 des c't-Datenschutz-Podcasts sprechen Holger und Joerg mit Carolin Loy über die Arbeit und Haltung des Bayerischen Landesamts für Datenschutzaufsicht (BayLDA). Loy leitet dort den Bereiche Digitalwirtschaft, ist Pressesprecherin und hat Einblick in viele aktuelle Datenschutzthemen - von Künstlicher Intelligenz bis hin zu Cookie-Bannern. Sie hatte die vorvergangene Episode 134 im heise-Forum kritisch kommentiert und folgte postwendend einer darauffolgenden Einladung von Joerg.
Zum Start geht es aber zunächst um ein 45-Millionen-Euro-Bußgeld gegen die deutsche Vodafone GmbH. Die Bundesdatenschutzbeauftragte verhängte diese Summe, weil Vodafone Partneragenturen nicht ausreichend kontrollierte und die Kundenauthentifizierung bei E-SIMs mangelhaft war. Auffällig: Vodafone akzeptierte das Bußgeld schnell, arbeitete bei der Aufklärung mit und spendete zusätzlich an gemeinnützige Organisationen.
Einen zweiten Schwerpunkt bildet ein Beschluss des Oberlandesgerichts Köln zu Metas Plänen, öffentliche Facebook- und Instagram-Profile zum Training von KI-Systemen zu nutzen. Das Gericht entschied im Eilverfahren, zu dem noch keine schriftliche Begründung vorliegt: Meta darf diese Daten ohne ausdrückliche Einwilligung der Nutzer heranziehen. Die Interessen von Meta seien berechtigt, zudem hätte Meta Nutzern Widerspruch ermöglicht.
In der Podcast-Episode geht es unter anderem um die Frage, ob Nutzer wirklich damit rechnen müssen, dass alte und öffentliche Posts zu KI-Zwecken verarbeitet werden, und ob der Umgang mit sensiblen Daten ausreichend berücksichtigt wird. Loy betont, dass die Rechtslage nicht immer dem Bauchgefühl entspricht und verweist auf europäische Vorgaben, nach denen das KI-Training grundsätzlich auch ohne Einwilligung möglich sein kann, solange bestimmte Bedingungen erfüllt sind.
Das weitere Gespräch dreht sich um die tägliche Arbeit der bayerischen Datenschutzaufsicht BayLDA. Die Behörde berät Loy zufolge Unternehmen im Bundesland zu KI-Projekten, prüft Beschwerden - zum Beispiel beim Einsatz von KI im Bewerbungsprozess - und ist europaweit an Orientierungshilfen zu digitalen Themen beteiligt, etwa bei Cookie-Bannern und neuen digitalen Abo-Modellen ("Consent or Pay"). Loy schildert, dass zu Cookie-Bannern und Tracking nach wie vor die meisten Beschwerden eintreffen. Sie sieht neue Ansätze wie PIMs - zentrale Einwilligungsverwaltungen - zwar positiv, zeigt sich aber aber skeptisch, ob sie den Cookie-Banner-Wildwuchs wirklich eindämmen.
Loy stellt sich sodan dem Vorwurf, Das BayLDA verhalte sich bei Datenschutzverstößen zu lasch oder zögerlich. Am Beispiel des von c't aufgedeckten Falls "Buchbinder", bei dem Millionen Kundendaten wegen einer Panne offen im Netz standen, erklärt sie, warum am Ende kein Bußgeld verhängt wurde: Das Unternehmen habe hohe Compliance-Standards gehabt, den Vorfall selbst gemeldet und eng mit der Behörde kooperiert. Entscheidend sei nicht der Fehler selbst, sondern wie Unternehmen mit Datenschutz umgehen und ob sie daraus lernen. Loy betont, dass die Behörde nicht vorrangig Strafen verteilen, sondern Datenschutz in der Breite fördern will - auch durch Beratung.
Zum Abschluss geht es um die aktuelle Debatte zur Zentralisierung der Datenschutzaufsicht für Unternehmen bei der Bundesdatenschutzbeauftragten. Loy sieht das kritisch: Einheitliche Entscheidungen würden dadurch nicht automatisch entstehen, da viele Fragen ohnehin im europäischen Verbund entschieden werden. Zudem könnten regionale Beratung und Kontrolle verloren gehen. Die Runde vermutet hinter dem Zentralisierungswunsch auch das Ziel, Datenschutzauflagen zu lockern und Bürokratie abzubauen.
