Auslegungssache – der c't-Datenschutz-Podcast

Die wirtschaftliche Lage in Deutschland und Europa setzt die Politik unter Druck, aber auch den Datenschutz. Das wurde zuletzt beim Digitalgipfel der Bundesregierung in Frankfurt deutlich. Bundeswirtschaftsminister Robert Habeck stellte dort die föderale Struktur der Datenschutzaufsicht in Frage. 16 Landesdatenschutzbehörden plus zwei in Bayern seien "ein bisschen viele". Er schlug vor, den Behörden thematische statt regionale Zuständigkeiten zuzuweisen. In der aktuelle Episode des c't-Datenschutz-Podcasts erörtert Holger zusammen mit dem freien Journalisten Falk Steiner die digitalpolitische Großwetterlage in Deutschland und Europa. Falk schildert die Stimmung auf dem Digitalgipfel. Ein Tenor war demzufolge, dass Deutschland als Wirtschafts- und KI-Standort hinterherhinkt. Datenschutz werde zunehmend als Bremsklotz der Digitalisierung dargestellt. Auch auf EU-Ebene deutet sich nach Falks Meinung ein Kurswechsel an. Die designierte neue EU-Kommission unter Ursula von der Leyen werde stark auf Wirtschaftswachstum und Bürokratieabbau setzen. Datenschütz dürfte mehr in den Hintergrund treten. Die für Digitales zuständige künftige Exekutiv-Vizepräsidentin Henna Virkkunen soll ein EU-Cloud- und KI-Entwicklungsgesetz vorantreiben. Eine Reform der Datenschutz-Grundverordnung (DSGVO) steht dagegen nicht auf ihrer Agenda. Die neue EU-Kommission werde insgesamt konservativer ausgerichtet sein als die bisherige. Prägende Figuren der Digitalpolitik wie Margrethe Vestager und Thierry Breton schieden aus. Zudem haben sich die Mehrheitsverhältnisse im EU-Parlament nach rechts verschoben. Das könnte Falk zufolge neue Regulierungen erschweren, aber auch bürgerrechtskritische Vorhaben wie die Vorratsdatenspeicherung bremsen, die der designierte Innenkommissar Magnus Brunner wieder aufgreifen soll.

Bei strafrechtlichen Ermittlungen und im Strafprozess sind datenschutzrechtliche Grundsätze außer Kraft gesetzt. Ist das wirklich so, und welche Personlichkeitsrechte gelten dann überhaupt noch? Mit diesen Fragen beschäftigen sich Holger und Joerg in der aktuellen Episode der Auslegungssache. Zu Gast ist der Vollblut-Strafverteidiger Jens Ferner, der, wie er selbst sagt, in seinem "vorherigen Leben" als Software-Entwickler gearbeitet hat und deshalb sehr gut einschätzen kann, wie die Ermittler in der digitalen Forensik vorgehen. In Jens' Verfahren geht es oft um Delikte mit IT-Bezug, doch darum soll geht es in der Podcast-Episode nicht einmal vorrangig. Jens erzählt sehr eindringlich und dennoch unterhaltsam aus dem Alltag eines Strafverteidigers. Er stellt dar, wie Hausdurchsuchungen wirklich ablaufen und gibt Tipps, wie man sich in einem solchen Fall verhalten sollte. Den verblüfften Podcast-Hosts erklärt er, warum vor der Polizei meist keine Daten sicher sind, auch nicht die Privatesten. Wie sollte man selbst sein Smartphone und seinen PC absichern, um keine Daten von sich und von anderen Personen preisgeben zu müssen? Wie versuchen Strafermittler, an die Daten zu kommen? Jens weist darauf hin, dass sichergestellte Datenträger wie Festplatten und Smartphones unter Umständen von jeder Dorf-Polizeidienststelle entsperrt und ausgelesen werden können. Und dann tauchen vielleicht ganz neue Probleme auf, weil aus Zufallsfunden eine andere als die ursprünglich vermutete Straftat konstruiert werden könnte. der Rat von Jens: "Gebt bloß keinen Zugriff auf die Geräte, egal wie sicher man sich wähnt!"

Unsere Redaktionen erreichen immer wieder Anfragen von Leserinnen und Lesern, wie es heise online, c't, oder andere Medien des heise-Verlags mit dem Datenschutz halten. Dürfen Journalisten beispielsweise personenenbezgene Daten, die aus einem Datenleak stammen, zu Recherchezwecken verwahren? Haben die betroffenen Personen diesbezüglich Auskunfts- und Löschrechte? Die Antwort darauf gibt die EU-Datenschutz-Grundverordung nur mittelbar, denn sie regelt diesen Sonderfall nicht direkt, sondern überlässt ihn in Art. 85 den Mitgliedsstaaten. Deutschland hat sich in Abwägung der Grundrechte - Pressefreiheit einerseits und informationelle Selbstbestimmung andererseits - für das sogenannte Medienprivileg entschieden: Unter anderem in den Landespressegesetzen ist geregelt, dass Medien aufgrund ihrer wichtigen Funktion personenbezogene Daten zu journalistischen Zwecken teils jenseits der DSGVO-Pflichten (etwa Rechtsgrundlagen und Betroffenenrechte) grundsätzlich verarbeiten dürfen. Schließen sich Presseerzeugnisse oder Onlinemedien der Selbstregulierung ihrer Branche an, unterliegen sie nicht der staatlichen Datenschutzaufsicht. Diese freiwillige Selbstregulierung hat in Deutschland bereits im Jahr 2001 der Presserat übernommen. Ihn tragen der Bundesverband Digitalpublisher und Zeitungsverleger (BDZV), der deutsche Journalisten-Verband (DJV), die deutsche Journalistinnen- und Journalisten-Union (dju) in ver.di sowie der Medienverband der freien Presse (MVFP). Im Episode 119 des c't-Datenschutz-Podcasts erläutert Roman Portack, warum es dieses Medienprivileg gibt und wie die Selbstregulierung in der Praxis funktioniert. Roman ist seit 2020 Geschäftsführer des Deutschen Presserats und außerdem Fachanwalt für Urheber- und Medienrecht. Im Podcast erklärt er zunächst, was der Pressekodex ist, dem sich die Redaktionen der teilnehmenden Medien verpflichtet sehen und der für die Beurteilung von möglichen Datenschutzverstößen in Redaktionen einschlägig ist. So verpflichten sich die Redaktionen bereits in der Präambel dieses Regelwerks, das Privatleben und das Recht auf informationelle Selbstbestimmung von Personen zu achten. Bei einer identifizierenden Berichterstattung muss das Informationsinteresse der Öffentlichkeit die schutzwürdigen Interessen von Betroffenen überwiegen (Ziffer 8 des Pressekodex). Die Weitergabe von Rechercheergebnissen darf nur zu journalistischen Zwecken erfolgen (Ziffer 5). Über ein Online-Formular kann jeder Bürger potenzielle Verstöße gegen diese datenschutzrechlichen Vorgaben melden. In der Podcast-Episode gehen Holger, Joerg und Roman einige Fälle aus der Praxis beispielhaft durch. Joerg selbst ist für den Medienverband der freien Presse (MVFP) Mitglied im Beschwerdeausschuss Datenschutz des Presserats, der über potenzielle Datenschutzverstöße in Redaktionen berät und urteilt. Ein Verstoß gegen den Pressekodex zieht einen Hinweis, eine Missbilligung oder eine Rüge nach sich. Im Falle einer öffentlichen Rüge haben sich die Verlage verpflichtet, diese im betreffenden Medium zu veröffentlichen.

Kaum ein Thema ist in der Datenschutzwelt so umstritten wie der Einsatz von Microsoft 365. Kritiker sehen in der kaum überschaubaren Produktwelt von Microsoft jede Menge Reibungspunkte mit der DSGVO, zumal Kernprodukte wie Sharepoint und Teams reine Clouddienste sind und damit personenbezogene Daten auf Microsofts Servern in Irland oder gar in den USA lagern. Europäische Datenschutzbehörden arbeiten sich seit Jahren an den Datenschutzerklärungen und Vertragsgestaltungen ab, die Microsoft anbietet. Die deutsche Datenschutzkonferenz (DSK) hatte sich zuletzt Ende 2022 nach langen Untersuchungen darauf festgelegt, dass sie zu diesem Zeitpunkt einen datenschutzkonformen Betrieb von Microsoft 365 nicht nachweisen konnte. Der niedersächsische Landesdatenschutzbeauftragte dagegen attestierte dem Landesinnenministerium im April 2024 eine akzeptable Vereinbarung mit Microsoft, sodass die Landesbehörden zumindest Microsoft Teams einsetzen können, ohne Konflikte mit der zuständigen Datenschutzbehörde befürchten zu müssen. I, Episode 118 beschäftigen sich Holger und Joerg mit dem gesamten Komplex aus Datenschutzperspektive. Ziel ist es, zu Antworten zu kommen, die Behörden und Unternehmen einen Weg weisen können. Dafür haben sie mit Dr. Olaf Koglin eine ausgesprochenen Spezialisten für genau diese Thematik hinzugezogen. Jurist Olaf berät mit seinem Unternehmen Legal Check Behörden und Unternehmen in Sachen Datenschutz, die Microsoft 365 rechtssicher einsetzen möchten. Zunächst definieren die drei mögliche Knackpunkte, die immer wieder angesprochen sind: Microsofts Verarbeitungsvertrage, das Data Protection Addendum (DPA), und die darin aufgeführten Zwecke, Verantwortlichkeiten und Datentransfers. Kritiker monieren unter anderem, dass Daten in die USA abfließen, die Verwendung von Telemetriedaten ungenügend geklärt ist, die IT-Sicherheit nicht ausführlich beschrieben ist und Microsoft die Verarbeitungszecke nicht abschließend darstellt. Dann geht es um die Stellungnahmen von Aufsichtsbehörden, an denen Olaf teilweise einiges auszusetzen hat. Er erklärt außerdem, worum es bei einem gerade laufenen Verfahren zum Thema in der EU selbst geht. Generell ist sich Olaf aber sicher, dass man die gesamte Microsoft-365-Produktwelt datenschutzkonform einsetzen kann. Neue Probleme enstünden allerdings gerade mit der allmählichen Einführung der KI-Copiloten in die Produkte.