Auslegungssache – der c't-Datenschutz-Podcast

Mit Sascha Kremer, Holger Bleich und Joerg Heidrich Joerg und Holger besprechen in Episode 38 zunächst ein Bußgeld der niederländischen Datenschutzaufsicht gegen eine Gemeinde: Die Stadt Enschede hat mit WLAN-Sensoren den Andrang in der Innenstadt gemessen, hätte dabei aber auch Bewegungsprofile der Bürger-Smartphones erstellen können. Doch genügt es, dass sie es technisch hätte können, um sie dafür zu bestrafen? Rechtsanwalt Sascha Kremer, Gast der Sendung, bezweifelt das und hält das Bußgeld für übertrieben. Es ist nicht rechtskräftig, und wird es nach Meinung von Sascha wohl auch nicht werden. Schwerpunkt der Episode ist allerdings das datenschutzrechtliche Konstrukt der Auftragsverarbeitung. Welche Haftung trifft den Verantwortlichen, welche den Auftragsverarbeiter? Was ist ein AV-Vertrag, und vor allem: Wann ist er nötig und was muss drinstehen? Sascha erläutert, wie der wenig bekannte Artikel 29 der DSGVO zu interpretieren ist, in dem wage die Rolle der "unterstellten Person" des Verantwortlichen beschrieben ist, also etwa die aller Mitarbeiter im Unternehmen außer dem Chef. Anhand vieler Beispiele macht Sascha klar, wie wichtig es ist, sich mit der Auftragsverarbeitung zu beschäftigen, sei es als verantwortlicher Datenverarbeiter oder als davon Betroffener. Und um es richtig kompliziert zu machen, gibt es ja auch noch die gemeinsame Verantwortung ("Joint Controlling") ...

Mit Adrian Schneider, Holger Bleich und Joerg Heidrich Positionspapier des Bundesdatenschutzbeauftragten (Juni 2020): "Zur Anonymisierung unter der DSGVO unter besonderer Berücksichtigung der TK-Branche"

Mit Dr. Stefan Brink, Holger Bleich und Joerg Heidrich Ute Bernhardt, Ingo Ruhmann, Karin Schuler, Dr. Thilo Weichert: Zum Auswahlprozess von Datenschutzbeauftragten als Leitung der Aufsichtsbehörden Hörtipp: Die Akte VfB - Liebling Bosman meets Dr. Stefan Brink

Mit Prof. Marc Liesching, Holger Bleich und Joerg Heidrich Download der Teilevaluierung: https://www.carlgrossmann.com/liesching-das-netzdg-in-der-praktischen-anwendung/

Mit Karoline Busse, Holger Bleich und Joerg Heidrich Paper "Why Johnny Can't Encrypt" mit der Usability-Studie von PGP 5.0 WP-Artikel zur Liste der Datenpunkte, aus denen Facebook Personenprofile erstellt Karolines Twitter-Handle: @kb_usec

Mit Anna Cardillo, Holger Bleich und Joerg Heidrich Nach der eher technisch geprägten Episode 32 wurde es für Joerg und Holger mal Zeit, sich mit "Soft Skills" zu beschäftigen. Das ist genau die Spezialität von Anna Cardillo, die Organisationen dabei unterstützt, DSGVO-Anforderungen zu implementieren. Anna ist nicht nur Rechtsanwältin, sondern auch zertifizierte Datenschutzauditorin. Sie weiss davon zu berichten, wo es in Unternehmen hakt, wenn es um die Umsetzung eines funktionierenden Datenschutzmanagements geht: "Der Fisch stinkt da oft vom Kopf", berichtet sie. In Meetings stehen oft nicht nur sachliche Argumente im Vordergrund, bisweilen muss Anna auch ihre psychologischen Kenntnisse einsetzen, um Denkbarrieren einzureißen und gewohnte Vorgänge neu zu gestalten. "Awareness" heißt da das Zauberwort. Allerdings hat die Akzeptanz von Datenschutzerfordernissen in letzter Zeit gelitten. Anna erzählt aus der Praxis, sie plädiert für Offenheit und den Willen, neue Dinge auszuprobieren.

Mit Jan Mahn, Holger Bleich und Joerg Heidrich "Jan hat schon sehr viel Elend gesehen." So begrüßt Joerg den heutigen Episodengast, c't-Redakteur Jan Mahn. Und das nicht von ungefähr: Geht es bei c't um Datenpannen, kommt oft Jan ins Spiel und untersucht sowohl Ursachen als auch Auswirkungen derselben. Seine niederschmetternde Erkenntnis ist, dass vielen der datenschutzrelevanten Sicherheitsunfälle kein hochkomplexer Angriff zugrunde liegt, sondern schlicht Schlamperei von Entwicklern oder Admins. Da geht es um ungeschützte SMB-Freigaben genauso wie um Passwort-Datenbanken im Klartext oder veraltete Schutzmaßnahmen. Nach Ansicht von Jan häufen sich diese Lecks unter anderem, weil Entwickler in Unternehmen in agilen Arbeitsmodellen oft nicht mehr das Große und Ganze im Blick haben, sondern nur noch die Erledigung von Tickets in engen zeitlichen Rahmen. Im Podcast plaudert Jan über seine Erfahrungen, und Joerg schätzt die juristischen Konsequenzen dieser Datenlecks ein.

Mit Marit Hansen, Joerg Heidrich und Holger Bleich In Episode 31 beschäftigen sich Joerg und Holger zunächst ausführlicher als gewohnt mit dem Bußgeld der Woche: Umgerechnet 10,6 Millionen Euro möchte die norwegische Datenschutzbehörde gegen die Dating-Plattform Grindr verhängen, weil sie ohne Einwilligung der Nutzer massenhaft personenbezogene Daten an mehrere Dutzend Drittfirmen weitergeleitet hat, darunter besonders sensible Informationen gemäß DSGVO. Als Gast zugeschaltet ist Marit Hansen, die Landesdatenschutzbeauftragte von Schleswig-Holstein. Und Marit hat zur Bußgeld-Diskussion gleich einiges beizutragen. Eigentliches Steckenpferd der gelernten Informatikerin sind aber die Konzepte Privacy by Design und Privacy by Default, die der Artikel 25 der DSGVO regeln soll. Entgegen landläufiger Meinung treffen die Pflichten aus diesem Artikel keineswegs Hersteller von Anwendungen, sondern vielmehr diejenigen, die die Software einsetzen (also die "Verantwortlichen"), wie Marit anschaulich erläutert. Ab Beispiel von Webbrowsern zeigen die drei konkret, was es zu beachten gilt. Allerdings gibt Marit zu bedenken, dass in Erwägungsgrund zu Artikel 25 vieles im Ungefähren bleibt und wohl auch deshalb bislang Verstöße gegen Privacy by Design kaum geahndet werden. Eine Ausnahme: Das hohe "Deutsche Wohnen"-Bußgeld beruht ausdrücklich auf einem Verstoß gegen Privacy by Design.

Mit Johannes Endres, Holger Bleich und Joerg Heidrich Investigative Recherchen erfordern es oft, dass personenbezogene Daten gesichtet, extern bewertet und sortiert werden müssen - dies meist, ohne den Betroffenen zu informieren oder die Quelle offenzulegen. Damit der Journalismus diese gesellschaftliche Aufgabe erfüllen kann, nennt die DSGVO Ausnahmen der strengen datenschutzrechtlichen Vorgaben (Medienpriviliegien), die auch für Ton-, Bild- und Videoaufnahmen gelten können. Zu diesen Privilegien kursieren in der Öffentlichkeit einige Missverständnisse. Deshalb sprechen Joerg und Holger in dieser Episode darüber, für wen und in welchen Konstellationen die Ausnahmen gelten, und worauf JournalistInnen besonders achten sollten. Sie begeben sich aber nicht alleine ins Dickicht von Datenschutz- und Landespressegesetzen: Mit dabei ist Johannes Endres. Johannes war lange Jahre c't-Redakteur, Ressortleiter, und von 2013 bis 2017 Chefredakteur von heise online und c’t. Von 2015 bis 2020 war er außerdem Mitglied des deutschen Presserats, dort Vorsitzender der beiden Beschwerdeausschüsse "Trennung von Werbung und Redaktion" und "Redaktionsdatenschutz". Derzeit arbeitet Johannes bei Althammer & Kill, einem Unternehmen, das Unternehmen bei der Umsetzung von Datenschutzbestimmungen berät.

Mit Dr. Thomas Schwenke, Holger Bleich und Joerg Heidrich Das Datenschutzjahr 2020 fordert dazu heraus, kritisch beäugt zu werden. Joerg und Holger haben sich für einen Blick zurück im Zorn Dr. Thomas Schwenke eingeladen. Thomas kennt sich als selbstständiger Rechtsanwalt mit Spezialgebiet Social-Media-Recht bestens in der aktuellen datenschutzrechtlichen Lage aus und betreibt nebenher den Podcast "Rechtsbelehrung". In dieser Auslegungssache XXL kommentieren die Drei viele der Themen rückblickend, die in vergangenen Episoden bereits ausführlicher zur Sprache kamen: Natürlich geht es um das Ende des Privacy-Shields und die Corona-Warn-App, aber auch ums Elend mit den Cookie-Bannern, die (nicht für alle) leidigen Videokonferenz-Tools und die rechtlichen Folgen des Brexits. Der bisweilen leicht polemische Datenschutz-Stammtisch moniert die Tendenz, Freiheitsrechte und Privatsphäre der europäischen Bürgerinnen und Bürger immer weiter einzuschränken. Zum Abschluss gibt es noch einen Blick in die Zukunft: Welche Themen werden 2021 und darüber hinaus auf die Agenda rutschen? Allen Hörerinnen und Hörern einen guten Rutsch ins hoffentlich bessere Jahr 2021. Bleibt gesund, und: Schützt Eure Daten!