Auslegungssache – der c't-Datenschutz-Podcast

Mit Marie-Claire Koch, Ronald Eikenberg, Dr. Christopher Kunz und Joerg Heidrich Vorab: Melden Sie datenschutzrelevante Informationen gerne anonym an unser Investigativteam: heise-Hinweisgeber-System Kaum eine Woche vergeht auf heise online ohne Meldungen über neue Datenlecks. Zuletzt traf es einen großen Verbund von Rehakliniken, bei dem hochsensible Patientendaten offen im Netz einsehbar waren. Durch einen Hinweisgeber wurde aufgedeckt, dass Termindaten und sogar Befunddaten unverschlüsselt übertragen wurden und über das Internet abrufbar waren. Im aktuellen c't-Datenschutz-Podcast berichten die Newsroom-Redakteurin Marie-Claire Koch und c't-Redakteur Ronald Eikenberg davon, wie sie von dem Problem erfahren haben und was genau passiert ist. heisec-Redakteur Christopher Kunz kann überdies brandaktuelle Informationen zu zum Datenleak bei einem sogenannten Legaltech-Unternehmen beisteuern, auf das ihn ein Sicherheitsforscher vom Chaos Computer Club (CCC) hingewiesen hat. Wegen unzureichend gesicherter Webservices standen massenhaft Mandanteninformationen nahezu offen für jeden im Internet zum Abruf bereit. Zusammen mit heise-Justiziar Joerg Heidrich diskutiert die Runde, wie Unternehmen solchen Vorfällen vorbeugen können und wie sie sich verhalten sollten, wenn es dennoch dazu kommt. Wann besteht die Pflicht, Vorfälle umgehend bei der zuständigen Datenschutzbehörde zu melden? Wie sollte man sich gegenüber Mitarbeitern und Kunden verhalten, derden Daten eventuell in fremde Hände geraten sind? Nach Christophers Meinung ist es erschreckend, dass Patientendaten aufgrund grober Fehler wie fehlender Verschlüsselung und falscher Serverkonfiguration frei zugänglich waren. "Es geht hier um grundlegende Sicherheitsmaßnahmen, die im Jahr 2025 eigentlich selbstverständlich sein sollten", kritisiert er. Doch stattdessen würden immer wieder die gleichen Anfängerfehler gemacht. Auch die Kommunikation der betroffenen Unternehmen lasse oft zu wünschen übrig. Standardformulierungen wie "kein Hinweis auf Datenabflüsse" seien wenig vertrauenserweckend. Zudem würden Datenschutzbehörden und Kunden häufig gar nicht oder nur zögerlich informiert. Hier fordern die Experten unisono deutlich mehr Transparenz. Für Ronald liegt die Wurzel des Problems im mangelnden Risikobewusstsein: "Datenschutz muss als ernstes unternehmerisches Risiko wahrgenommen werden, genauso wie Arbeitsunfälle oder Produkthaftung." Nötig seien regelmäßige Sicherheitsaudits und die Einbindung externer Experten, um Lücken frühzeitig zu erkennen und zu schließen. Unternehmen sollten zudem offener mit Sicherheitsforschern zusammenarbeiten, die Schwachstellen aufdecken. Christopher rät Firmen, lieber einmal mehr als zu wenig zu melden, um sich nicht dem Vorwurf der Vertuschung auszusetzen. Auch Betroffene wünschten sich sicherlich mehr Informationen darüber, ob und wie ihre Daten in falsche Hände geraten sind. Insgesamt zeigt die Diskussion: Beim Schutz sensibler Daten gibt es noch viel Luft nach oben. Unternehmen müssen ihrer Verantwortung besser gerecht werden - im Interesse ihrer Kunden und auch zu ihrem eigenen Schutz. Denn Datenpannen führen mitunter nicht nur zu saftigen Bußgeldern, sondern können auch immense Imageschäden nach sich ziehen.

Mit Bettina Blawert, Holger Bleich und Joerg Heidrich Das in Artikel 15 DSGVO festgeschriebene Auskunftsrecht ist eines der zentralen Betroffenenrechte. Es gilt als ein wichtiges Instrument zur Kontrolle der eigenen Daten, an das sich Rechte zur Korrektur und Löschung von Daten anschließen. Per E-Mail lässt sich bei Unternehmen und Behörden erfragen, welche Daten zu welchem Zweck gespeichert sind, und woher sie stammen. Doch was auf den ersten Blick einfach klingt, wirft in der Praxis viele Fragen auf, wie die Diskussion im aktuellen c't-Datenschutz-Podcast zeigt. Zu Gast ist Bettina Blavert, Syndikusrechtsanwältin und Datenschutzexpertin bei der Sovendus GmbH. Sie sieht das Auskunftsrecht sehr positiv, auch wenn es Unternehmen einiges abverlangt. "Für Betroffene ist es Datenschutz zum Anfassen", sagt sie. Holger und Joerg stimmen zu, weisen allerdings auf Schwierigkeiten bei der Umsetzung des Rechts hin. So müssen Unternehmen Betroffene zunächst einmal eindeutig identifizieren, bevor sie Daten herausgeben, und das, ohne dabei selbst wieder zu viele Daten abzufragen. Außerdem sei die Frist von einem Monat durchaus knapp, wenn umfangreiche oder komplexe Datensätze zusammengestellt werden müssen. Auch inhaltlich gibt es Fallstricke: Müssen komplexe Datenstrukturen in Klartext übersetzt werden? Wie sieht es mit Daten aus, die zwar einen Personenbezug haben, aber zum Beispiel pseudonymisiert gespeichert sind? Und: Dürfen Geschäftsgeheimnisse oder Rechte Dritter einer Auskunft entgegenstehen? Die drei Diskutanten liefern Details aus der Praxis und stellen klar: Das Auskunftsrecht ist ein mächtiges Instrument für Betroffene, aber eben kein Selbstläufer. Unternehmen müssen ihre Prozesse genau prüfen und anpassen, um nicht in Schwierigkeiten zu geraten. Betroffene sollten wiederum genau überlegen, was sie mit einer Anfrage bezwecken wollen. Denn bei aller Auskunftsfreude: Wer es übertreibt, dem kann am Ende sogar der Missbrauch dieses Rechts vorgeworfen werden.

Mit Markus Sailer, Holger Bleich und Joerg Heidrich Die Macht von Daten wird oft erst dann sichtbar, wenn sie missbraucht wird. In Episode 125 des c't-Datenschutz-Podcasts werfen Holger, Joerg und der Datenschutzbeauftragte Markus Sailer einen Blick zurück auf historische Beispiele, in denen Staaten ihre Datensammlungen zur gezielten Verfolgung von Bevölkerungsgruppen genutzt haben. Ein besonders bekanntes Beispiel ist die Volkszählung von 1939 im nationalsozialistischen Deutschland. Mit Hilfe von Lochkarten und Hollerith-Tabelliermaschinen erfassten die Nazis damals die Religionszugehörigkeit der Bürger. In Ergänzungskarten wurden "Mischlinge" "Volljuden", "Geltungsjuden" und "Glaubensjuden" gemäß der Nürnberger Rassengesetze von 1935 systematisch erfasst. Die Daten bildeten später die Grundlage für die Deportation von Juden in Konzentrationslager. In anderen Staaten wie den Niederlanden fielen solche Datensammlungen den deutschen Besatzern in die Hände und wurden für Verfolgungsmaßnahmen missbraucht. Ein weiteres Beispiel ist die systematische Erfassung von Homosexuellen durch die Gestapo ab 1934. Auf Basis von polizeilichen "Rosa Listen" wurden zehntausende Männer in Karteien erfasst, überwacht und verfolgt. Insgesamt 50.000 Verurteilungen erfolgten nach dem berüchtigten Paragraphen 175, der in der Bundesrepublik erst 1994 endgültig abgeschafft wurde. Die Gesprächspartner sind sich einig: Auch wenn sich die Methoden geändert haben, besteht die Gefahr des Datenmissbrauchs durch staatliche Stellen weiterhin. Rasterfahndung, die wieder in Deutschland diskutierte Vorratsdatenspeicherung oder der "Cloud Act" in den USA sind aktuelle Beispiele für weitreichende Zugriffsbefugnisse. Zwar setzt die europäische Datenschutz-Grundverordnung (DSGVO) hier wichtige Grenzen. Doch die Diskutanten bezweifeln, ob sie ausreicht, um die Demokratie langfristig zu schützen. Ihr Wunsch an die Politik ist daher ein stärkeres Bewusstsein für die Missbrauchsgefahren von Datensammlungen. Statt Datenschutz vor allem als Hindernis zu sehen, sollte er auch als Schutzschild der freiheitlichen Gesellschaft begriffen werden. Denn historische Erfahrungen mahnen zur Wachsamkeit - in Zeiten von Big Data und Künstlicher Intelligenz mehr denn je.

Dr. Lea Stegemann ist Rechtsanwältin und Expertin für Schadensersatzansprüche aus DSGVO-Verstößen. Sie spricht über das bedeutende BGH-Urteil, das den Schadensersatzanspruch bei Kontrollverlust über Daten betrifft. Die mündliche Auseinandersetzung über den immateriellen Schaden und die Herausforderungen, die die DSGVO mit sich bringt, wird thematisiert. Zudem wird das Leitentscheidungsverfahren und aktuelle Klagen gegen Meta beleuchtet, wobei konkrete Geldbeträge wie 100 Euro im Kontext von Datenmissbrauch diskutiert werden.

Mit Anna Cardillo, Holger Bleich und Joerg Heidrich Wolfie Christl: Employees as Risks - A case study on intrusive surveillance and behavioral profiling for cybersecurity, insider risk detection and "compliance", Cracked Labs, August 2024 Eine bislang wenig beachtete Studie des österreichischen Forschers und Aktivisten Wolfie Christl aus August 2024 brachte es an den Tag: Microsoft bietet Unternehmen, die Microsoft 365 Enterprise nutzen, weitreichende Möglichkeiten, das Verhalten ihrer Mitarbeiter zu überwachen und zu analysieren. Es geht um zubuchbare Produkte zum "Sicherheitsinformations- und Ereignis-Management" (SIEM) und zu "User and Entity Behavior Analytics" (UEBA). Mit den Zusatzprodukten "Sentinel" und "Purview" können sich Arbeitgeber von Microsoft aufzeigen lassen, welche Mitarbeiter ein Sicherheitsrisiko darstellen könnten, etwa aufgrund "anstößiger" Chats oder häufigen Abrufen bestimmter Webseiten. Dabei werden riesige Mengen sensibler Mitarbeiterdaten verarbeitet und verknüpft, beispielsweise aus Teams und Sharepoint. Christl zeigt auf, wie Microsoft dafür intensiv KI einsetzt und Unternehmen ermutigt, detaillierte Profile ihrer Mitarbeiter zu erstellen, um "Risikofaktoren" und "Anomalien" zu erkennen. Im c't-Datenschutz-Podcast diskutieren Holger und Joerg die ethischen und rechtlichen Implikationen. Rechtsanwältin Anna Cardillo steht ihnen dabei mit ihrer Expertise zur Seite. Anna berät seit 2006 Unternehmen und Behörden im Datenschutz- und Informationssicherheitsrecht. Sie hat sich auf die Unterstützung bei der Implementierung und datenschtuzrechtlich sauberer Umsetzung digitaler Prozesse spezialisiert. Anna äußert erhebliche Zweifel an der Rechtmäßigkeit der Überwachungspraktiken, die Microsoft und andere von Christl untersuchte Unternehmen anbieten. Es fehle oft schlicht an Wissen und damit der an der nötigen Transparenz, austarierten Risikoabwägungen sowie einer Rechtsgrundlage für derart weitreichende Datenauswertungen. Das Fazit: Auch wenn Unternehmen ein berechtigtes Interesse an der IT-Sicherheit haben, sind viele der von Microsoft angepriesenen Überwachungsmaßnahmen unverhältnismäßig und könnten hierzulande unzulässig sein. Betroffene Mitarbeiter sollten sich nicht scheuen, die Praktiken kritisch zu hinterfragen und sich im Zweifelsfall beispielsweise an den Betriebsrat oder eine Hinweisgeberstelle zu wenden.

Mit Dr Ulf Buermeyer, Holger Bleich und Joerg Heidrich Nun hat es auch einmal den c't-Datenschutz-Podcast erwischt: Manchmal ändert sich die Nachrichtensituation von einen Tag auf den anderen gravierend, so geschehen am 6. November. Kaum war die aktuelle Folge im Kasten, löste sich die Ampelkoalition auf. Einige Gesetzesprojekte, über die es in der Episode gesprochen wird, dürften damit vorerst gestoppt sein. Dennoch halten wir die Episode 122 der Auslegungssache für sehr hörenswert, beleuchtet sie doch die Lage der Bürgerrechte in Deutschland sowie Bestrebungen der nun ehemaligen Bundesregierung, grundrechtsgefährdende Projekte auf die Schiene zu bringen. Im Mittelpunkt steht das Sicherheitspaket, das eventuell mit Hilfe der Unionsparteien trotz Ampel-Aus noch vor der Bundestagswahl realisiert werden könnte. Holger und Joerg sprechen darüber mit Dr. Ulf Buermeyer, Jurist, Mitgründer der Gesellschaft für Freiheitsrechte und Co-Host des Podcasts "Lage der Nation". Das in Reaktion auf den Messerangriff von Solingen hastig zusammengestellte Paket passierte Mitte Oktober zunächst den Bundestag, scheiterte dann aber vorerst im Bundesrat am Widerstand der Union. Diese fordert noch schärfere Maßnahmen wie eine Ausweitung der Befugnisse für Verfassungsschutz und Polizei. Besonders umstritten ist die Einführung einer Datenbank zur biometrischen Gesichtserkennung beim BKA. Ulf bezweifelt, dass eine solche Datenbank verfassungsrechtlich Bestand hätte. Er sieht darin einen massiven Eingriff in die Grundrechte. Ebenfalls diskutiert wurde in der Ampelregierung ein neuer Anlauf zur Vorratsdatenspeicherung von IP-Adressen. Hier sehen sich Befürworter wie Innenministerin Nancy Faeser durch ein EuGH-Urteil von April 2024 bestätigt. Die FDP setzte dem das Modell "Quick Freeze" entgegen, bei dem Verbindungsdaten erst bei einem konkreten Verdacht "eingefroren" und dann für Ermittlungen freigegeben werden. Ulf plädiert dafür, diesen Ansatz zumindest zu erproben und wissenschaftlich zu evaluieren. Insgesamt wünscht er sich eine Versachlichung der oft emotional geführten Debatte um innere Sicherheit und Migration. Sowohl Quick Freeze als auch die Vorratsdatenspeicherung dürften nun nach dem Ampel-Aus vorerst in den Schubladen verschwinden.

Mit Holger Bleich und Falk Steiner Hier sind die Anhörungen der designierten EU-KommissarInnen im EU-Parlament zu finden Die wirtschaftliche Lage in Deutschland und Europa setzt die Politik unter Druck, aber auch den Datenschutz. Das wurde zuletzt beim Digitalgipfel der Bundesregierung in Frankfurt deutlich. Bundeswirtschaftsminister Robert Habeck stellte dort die föderale Struktur der Datenschutzaufsicht in Frage. 16 Landesdatenschutzbehörden plus zwei in Bayern seien "ein bisschen viele". Er schlug vor, den Behörden thematische statt regionale Zuständigkeiten zuzuweisen. In der aktuelle Episode des c't-Datenschutz-Podcasts erörtert Holger zusammen mit dem freien Journalisten Falk Steiner die digitalpolitische Großwetterlage in Deutschland und Europa. Falk schildert die Stimmung auf dem Digitalgipfel. Ein Tenor war demzufolge, dass Deutschland als Wirtschafts- und KI-Standort hinterherhinkt. Datenschutz werde zunehmend als Bremsklotz der Digitalisierung dargestellt. Auch auf EU-Ebene deutet sich nach Falks Meinung ein Kurswechsel an. Die designierte neue EU-Kommission unter Ursula von der Leyen werde stark auf Wirtschaftswachstum und Bürokratieabbau setzen. Datenschütz dürfte mehr in den Hintergrund treten. Die für Digitales zuständige künftige Exekutiv-Vizepräsidentin Henna Virkkunen soll ein EU-Cloud- und KI-Entwicklungsgesetz vorantreiben. Eine Reform der Datenschutz-Grundverordnung (DSGVO) steht dagegen nicht auf ihrer Agenda. Die neue EU-Kommission werde insgesamt konservativer ausgerichtet sein als die bisherige. Prägende Figuren der Digitalpolitik wie Margrethe Vestager und Thierry Breton schieden aus. Zudem haben sich die Mehrheitsverhältnisse im EU-Parlament nach rechts verschoben. Das könnte Falk zufolge neue Regulierungen erschweren, aber auch bürgerrechtskritische Vorhaben wie die Vorratsdatenspeicherung bremsen, die der designierte Innenkommissar Magnus Brunner wieder aufgreifen soll.

Mit Jens Ferner, Holger Bleich und Joerg Heidrich Bei strafrechtlichen Ermittlungen und im Strafprozess sind datenschutzrechtliche Grundsätze außer Kraft gesetzt. Ist das wirklich so, und welche Personlichkeitsrechte gelten dann überhaupt noch? Mit diesen Fragen beschäftigen sich Holger und Joerg in der aktuellen Episode der Auslegungssache. Zu Gast ist der Vollblut-Strafverteidiger Jens Ferner, der, wie er selbst sagt, in seinem "vorherigen Leben" als Software-Entwickler gearbeitet hat und deshalb sehr gut einschätzen kann, wie die Ermittler in der digitalen Forensik vorgehen. In Jens' Verfahren geht es oft um Delikte mit IT-Bezug, doch darum soll geht es in der Podcast-Episode nicht einmal vorrangig. Jens erzählt sehr eindringlich und dennoch unterhaltsam aus dem Alltag eines Strafverteidigers. Er stellt dar, wie Hausdurchsuchungen wirklich ablaufen und gibt Tipps, wie man sich in einem solchen Fall verhalten sollte. Den verblüfften Podcast-Hosts erklärt er, warum vor der Polizei meist keine Daten sicher sind, auch nicht die Privatesten. Wie sollte man selbst sein Smartphone und seinen PC absichern, um keine Daten von sich und von anderen Personen preisgeben zu müssen? Wie versuchen Strafermittler, an die Daten zu kommen? Jens weist darauf hin, dass sichergestellte Datenträger wie Festplatten und Smartphones unter Umständen von jeder Dorf-Polizeidienststelle entsperrt und ausgelesen werden können. Und dann tauchen vielleicht ganz neue Probleme auf, weil aus Zufallsfunden eine andere als die ursprünglich vermutete Straftat konstruiert werden könnte. der Rat von Jens: "Gebt bloß keinen Zugriff auf die Geräte, egal wie sicher man sich wähnt!"

Mit Roman Portack, Holger Bleich und Joerg Heidrich Homepage des Presserats Pressekodex Online-Beschwerdeformular

Mit Dr. Olaf Koglin, Holger Bleich und Joerg Heidrich Kaum ein Thema ist in der Datenschutzwelt so umstritten wie der Einsatz von Microsoft 365. Kritiker sehen in der kaum überschaubaren Produktwelt von Microsoft jede Menge Reibungspunkte mit der DSGVO, zumal Kernprodukte wie Sharepoint und Teams reine Clouddienste sind und damit personenbezogene Daten auf Microsofts Servern in Irland oder gar in den USA lagern. Europäische Datenschutzbehörden arbeiten sich seit Jahren an den Datenschutzerklärungen und Vertragsgestaltungen ab, die Microsoft anbietet. Die deutsche Datenschutzkonferenz (DSK) hatte sich zuletzt Ende 2022 nach langen Untersuchungen darauf festgelegt, dass sie zu diesem Zeitpunkt einen datenschutzkonformen Betrieb von Microsoft 365 nicht nachweisen konnte. Der niedersächsische Landesdatenschutzbeauftragte dagegen attestierte dem Landesinnenministerium im April 2024 eine akzeptable Vereinbarung mit Microsoft, sodass die Landesbehörden zumindest Microsoft Teams einsetzen können, ohne Konflikte mit der zuständigen Datenschutzbehörde befürchten zu müssen. I, Episode 118 beschäftigen sich Holger und Joerg mit dem gesamten Komplex aus Datenschutzperspektive. Ziel ist es, zu Antworten zu kommen, die Behörden und Unternehmen einen Weg weisen können. Dafür haben sie mit Dr. Olaf Koglin eine ausgesprochenen Spezialisten für genau diese Thematik hinzugezogen. Jurist Olaf berät mit seinem Unternehmen Legal Check Behörden und Unternehmen in Sachen Datenschutz, die Microsoft 365 rechtssicher einsetzen möchten. Zunächst definieren die drei mögliche Knackpunkte, die immer wieder angesprochen sind: Microsofts Verarbeitungsvertrage, das Data Protection Addendum (DPA), und die darin aufgeführten Zwecke, Verantwortlichkeiten und Datentransfers. Kritiker monieren unter anderem, dass Daten in die USA abfließen, die Verwendung von Telemetriedaten ungenügend geklärt ist, die IT-Sicherheit nicht ausführlich beschrieben ist und Microsoft die Verarbeitungszecke nicht abschließend darstellt. Dann geht es um die Stellungnahmen von Aufsichtsbehörden, an denen Olaf teilweise einiges auszusetzen hat. Er erklärt außerdem, worum es bei einem gerade laufenen Verfahren zum Thema in der EU selbst geht. Generell ist sich Olaf aber sicher, dass man die gesamte Microsoft-365-Produktwelt datenschutzkonform einsetzen kann. Neue Probleme enstünden allerdings gerade mit der allmählichen Einführung der KI-Copiloten in die Produkte.