Auslegungssache – der c't-Datenschutz-Podcast

Die EU will mit dem sogenannten Digital-Omnibus mehrere Digitalgesetze in einem Rutsch ändern, darunter die Datenschutz-Grundverordnung (DSGVO) und die E-Privacy-Richtlinie. Kaum ein Vorhaben ruft derzeit so viele Lobbyisten vor allem der Tech-Unternehmen auf den Plan, wie die Organisation Lobbycontrol gerade in einer Recherche mit dem Corporate Europe Observatory dokumentiert hat.

Mittendrin steht aber auch der Verbraucherzentrale Bundesverband (vzbv). In Episode 171 des c't-Datenschutz-Podcasts sprechen c't-Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich mit Michaela Schröder. Sie verantwortet als Geschäftsbereichsleiterin und Mitglied der Geschäftsleitung die verbraucherpolitischen Themenbereiche Digitales und Medien, Finanzmarkt, Gesundheit und Pflege sowie Lebensmittel. Außerdem verantwortet sie das Brüsseler Büro des Verbands.

Schröder erklärt zunächst, wie der vzbv arbeitet. Der Verband entstand nach der BSE-Krise auf Beschluss des Bundestags. Der Staat finanziert ihn, trotzdem versteht er sich als unabhängig. Unter seinem Dach versammeln sich die 16 Verbraucherzentralen der Länder und 28 weitere Verbände. Ein eigenes Büro in Brüssel hält Schröder für unverzichtbar, denn dort entstünden inzwischen über 80 Prozent der Verbraucherschutzgesetze. Datenschutz zählt der Verband zum Verbraucherschutz.

Den Digital-Omnibus hat die EU-Kommission nach Beobachtung von Schöder als bloße Klarstellung verkauft. Diese Darstellung hält Schröder für falsch, denn der Vorschlag enthalte teils gravierende Änderungen. Die Runde nimmt deshalb die Position auseinander, auf die sich die Mitgliedstaaten im Rat am 21. Oktober geeinigt haben.

Bei der Pseudonymisierung erkennt Schröder allenfalls eine minimale Verbesserung. Dass Unternehmen unbegründete Auskunftsanfragen künftig leichter abweisen dürfen, sieht sie kritisch. Heidrich begrüßt diesen Punkt dagegen, weil er als Datenschutzbeauftragter immer wieder Anfragen erlebe, die nur aus Rache gestellt werden. Beim Training von KI-Systemen mit persönlichen Daten hat der Rat aus Schröders Sicht den ohnehin verbraucherunfreundlichen Kommissionsvorschlag noch verschärft: Er hat das bedingungslose Recht gestrichen, der Nutzung zu widersprechen.

Am meisten ärgert Schröder das Schicksal der Cookie-Regeln. Der Kommissionsvorschlag sah maschinenlesbare Signale vor: Nutzer legen ihre Präferenz einmal fest, etwa im Browser, und Websites müssen sich daran halten. Für Schröder war das der beste Teil des Pakets. Im Rat flog die Regelung heraus, auch weil sich die deutsche Bundesregierung vehement dagegen eingesetzt hat.

Übrig bleiben Ausnahmen für Reichweitenmessung und Frist-Kosmetik: Wer Cookies ablehnt, soll nach vier Monaten erneut gefragt werden dürfen. Bleich bringt ein generelles Verbot personalisierter Werbung ins Spiel, um Tracking-Cookies überflüssig zu machen, und genau dafür setzt sich der vzbv mit Blick auf den geplanten Digital Fairness Act ein.

Das Parlament will seine Position bis Februar finden, danach folgen im sogenannten Trilog-Format die Verhandlungen zwischen Kommission, Rat und Parlament. Schröders Wunsch an die Datenschutzfee fällt entsprechend aus: Die EU soll den Omnibus neu aufsetzen oder zumindest die Präferenzsignale wieder aufnehmen.

Die Bilder und Videos aus KI-Generatoren sind inzwischen so gut, dass selbst aufmerksame Betrachter sie kaum noch von echten Aufnahmen unterscheiden können. Damit wachsen auch die Gefahren: KI-generierte Nacktbilder von Schülerinnen, sexualisierte Darstellungen über Grok auf X oder manipulierte Videos von Politikern. Die Politik reagiert mit neuen Vorschriften, und zwar auf mehreren Ebenen gleichzeitig.

In Episode 170 des c't-Datenschutz-Podcasts sortieren c't-Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich dieses Durcheinander. Dabei hilft ihnen Tahireh Panahi. Sie ist wissenschaftliche Mitarbeiterin an der Universität Kassel, promoviert zu EU-Maßnahmen gegen Desinformation in sozialen Medien und hat sich in einem Fachaufsatz mit der Regulierung von Deepfakes befasst.

Schon die Frage, was ein Deepfake überhaupt ist, sorgt für Diskussion. Die KI-Verordnung der EU fasst den Begriff sehr weit: Er umfasst alle KI-erzeugten Bilder, Töne oder Videos, die realen Personen, Orten oder Ereignissen ähneln und echt wirken könnten. Ein Schaden ist dafür nicht nötig. Panahi hält das für wenig sinnvoll. Sie schlägt vor, harmlose synthetische Inhalte und schädliche Deepfakes getrennt zu definieren. Heidrich stimmt ihr zu und beklagt, dass die Politik einen Begriff gekapert habe. Nach dieser Definition müsse man selbst ein Katzenbild kennzeichnen.

Ab Dezember verbietet die EU zusätzlich KI-Systeme, die sexualisierte Darstellungen realer Personen erzeugen. Panahi sieht darin eine schnelle Reaktion auf den Grok-Skandal. Gewaltdarstellungen erfasst das Verbot allerdings nicht, und eine Ausnahme für Kunst fehlt. Die drei sind sich einig, dass für KI-Nachbildungen erkennbarer Personen auch die DSGVO gilt. Eine Rechtsgrundlage für solche Bilder dürfte es ohne Einwilligung kaum geben.

Kritisch sehen die Diskutanten die deutschen Vorschläge für neue Strafgesetze. Das Bundesjustizministerium will laut einem am 7. Oktober im Bundeskabinett beschlossenen Entwurf bereits die Herstellung verfälschter sexualisierter Bilder unter Strafe stellen. Außerdem soll sich strafbar machen, wer täuschend echte Inhalte verbreitet, die dem Ansehen einer Person erheblich schaden. Ein über den Bundesrat eingebrachter Vorschlag aus Bayern sieht sogar bis zu fünf Jahre Haft vor. Heidrich fürchtet, dass gewöhnliche KI-Nutzer so schon durch einen fehlerhaften Filter zu Straftätern werden könnten. Panahi bevorzugt einen älteren Vorschlag der Grünen, der nur die Verbreitung bestraft.

Vorab nehmen sich die Gastgeber den Entwurf des EU Kids Acts vor. Bleich hält ihn für überhastet und handwerklich missraten. Der Entwurf sieht ein Social-Media-Verbot für Kinder unter 13 Jahren vor und schreibt strenge Altersprüfungen für alle Nutzer vor. Im "Bußgeld der Woche" geht es um den Sicherheitsdienstleister Securitas in Spanien. Er muss 100.000 Euro zahlen, weil er Betroffene für ihre Datenschutzrechte an eine kostenpflichtige Hotline verwiesen hat.

Seit der Coronapandemie gehören Videokonferenzen zum Arbeitsalltag. Systeme protokollieren mitunter, wer wann wie lange dabei war. Immer häufiger zeichnen Unternehmen ganze Meetings auf oder lassen eine KI Protokolle schreiben. In Episode 169 des c't-Datenschutz-Podcasts zeigen c't-Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich, dass dieses Alltagsthema jede Menge datenschutzrechtliche Fragen mit sich bringt.

Zu Gast ist Nikolaus Bertermann. Der Rechstanwalt arbeitete rund zehn Jahre als Justiziar eines großen europäischen Internetproviders und baute ab 2009 das IT- und Datenschutzteam der Kanzlei SKW Schwarz in Berlin auf. Seit 2011 betreut er als externer Datenschutzbeauftragter Unternehmen im In- und Ausland und führt Datenschutzaudits durch.

Zum Auftakt geht es um einen bizarren Fall aus Österreich. Eine Privatklinik übertrug Bilder aus ihren Operationssälen dauerhaft per Kamera, ohne die Patienten zu informieren oder um Erlaubnis zu fragen. Die österreichische Datenschutzbehörde verhängte dafür 63.800 Euro Bußgeld. Bertermann hält die Strafe wegen der fehlenden Information für richtig. Die Regeln in Art. 9 der DSGVO für Gesundheitsdaten und andere sensible Daten kritisiert er aber scharf: Sie verbiete Verarbeitungen so pauschal, dass Verantwortliche gar nicht erst abwägen könnten.

Dann kommen die drei zum Schwerpunkt der Episode. Wer ein Tool wie Teams oder Zoom einsetzt und zur Konferenz einlädt, trägt nach Bertermanns Einschätzung die Verantwortung im Sinne der DSGVO. Der Tool-Anbieter verarbeite die Daten lediglich in seinem Auftrag. Im Job brauchen Arbeitgeber Bertermann zufolge für eine gewöhnliche Videokonferenz keine Einwilligung der Beschäftigten. Sie können sich auf den Arbeitsvertrag oder ihr berechtigtes Interesse stützen.

Weil technisch fast jedes Tool Leistung und Verhalten kontrollieren könnte, muss aber ein vorhandener Betriebsrat mitbestimmen. Bei der Frage, ob Teilnehmer die Kamera einschalten müssen, lehnt Bertermann sowohl einen Zwang in jeder Lage als auch ein grundsätzliches Recht auf schwarze Kacheln ab. Es komme auf Zweck und Rahmen an. Beim Fernunterricht im Rahmen der Schulpflicht sagt er beispielsweise klar: Kamera an.

Kniffliger wird es beim Mitschneiden. Der Hinweis "Wer drinbleibt, willigt ein" ist für Bertermann keine wirksame Einwilligung. Er empfiehlt Unternehmen, ihre Interessen sauber abzuwägen, das schriftlich festzuhalten und die Teilnehmer vorab offen zu informieren. Das gelingt etwa über die Einladung, anpassbare Pop-up-Texte und verlinkte Datenschutzhinweise. Wer heimlich Screenshots macht und teilt, haftet selbst für mögliche Rechtsverletzungen. Und wer ohne Wissen der anderen ein Mikrofon danebenlegt, macht sich womöglich strafbar.

Auch KI-Transkripte zeichnen den Ton auf, zumindest für einige Sekunden. Dass die Anbieter behaupten, alles laufe "on the fly", ändert daran nichts. Damit greift das § 201 des Strafgesetzbuchs, der das nicht öffentlich gesprochene Wort schützt. Wer aber nach der DSGVO eine solide Rechtsggrundlage hat und vorher transparent informiert, macht sich nicht strafbar.

Zudem warnt die Runde davor, den Zusammenfassungen von Sprachmodellen blind zu vertrauen. Eine KI interpretiere Aussagen lediglich, statt ein fehlerfreies Wortprotokoll zu liefern. Am Ende bleibe die Nachkontrolle stets beim Menschen hängen, resümiert Bertermann: Wer ein automatisiertes Protokoll ungeprüft weiterleitet oder gar veröffentlicht, verantwortet auch dessen Fehler.

Was braucht es, um einen Menschen im Internet zweifelsfrei zu erkennen? Darauf gibt es mehr Antworten, als vielen Nutzern lieb ist. In Episode 168 der Auslegungssache beschäftigen sich c’t-Justiziar Joerg Heidrich und seine Gäste mit den Möglichkeiten der Identifikation von Nutzern im Internet. Dafür hat Heidrich sich zwei c’t-Kollegen eingeladen: Jo Bager, Informatiker und seit fast 30 Jahren in der Redaktion, sowie Sylvester Tremmel, Co-Host des heise-Security-Podcasts „Passwort“ (https://www.heise.de/thema/Passwort_Podcast).

Zum Einstieg gibt es wie immer das Bußgeld der Woche: Die niederländische Aufsicht AP (https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking) hat gegen Uber knapp 825 Millionen Euro (https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html) verhängt, weil der Fahrdienstvermittler Fahrerkonten jahrelang vollautomatisch sperrte, ohne dass dies durch einen Menschen überprüft wurde. Uber wehrt sich gegen diese Entscheidung, die eines der höchsten bislang in Europa verhängten Bußgelder darstellt.

Hauptthema des Podcast ist die Frage, wie Nutzer im Netz erkennbar sind. Rechtlich beginnt dabei alles beim Personenbezug. Nach der DSGVO genügt es, dass eine Person mittelbar identifizierbar ist, etwa über eine Online-Kennung. Klassischer Anknüpfungspunkt ist die IP-Adresse, seit einem Urteil des EuGH (https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html) auch für Websitebetreiber ein personenbezogenes Datum. Ihre Aussagekraft und damit auch die Identifizierbarkeit sinkt allerdings durch die Nutzung von NAT, Mobilfunk und VPNs.

Im Tracking-Alltag, insbesondere im Rahmen von Werbung, spielen dagegen Cookies, Werbe-IDs und vor allem Logins die Hauptrolle. Accountkennungen, Single-Sign-on-Token oder gehashte E-Mail-Adressen verketten Geräte zuverlässiger als probabilistische Verfahren, wobei Hashing die Daten lediglich pseudonymisiert. Das Setzen und Auslesen solcher Kennungen im Endgerät ist nach § 25 TDDDG (https://www.gesetze-im-internet.de/ttdsg/__25.html) grundsätzlich einwilligungsbedürftig.

Ganz ohne explizite Kennung kommt das Browser- und Device-Fingerprinting aus. Es kombiniert User-Agent, Sprache, Auflösung, Zeitzone, Schriften, Renderingunterschiede bei Canvas, WebGL oder Audio und viele weitere Aspekte zu einem oft bemerkenswert eindeutigen Profil. Wie weit das geht, zeigt AliExpress (https://www.heise.de/news/AliExpress-trackt-Nutzer-via-unhoerbarem-Audio-Fingerprinting-11424127.html): Der Shop erzeugte über die Web Audio API ein unhörbares Signal und vermaß, wie Prozessor, Treiber und Browser es verarbeiten. Aufgefallen ist das nur, weil bei einem Entwickler die Bluetooth-Kopfhörer nicht mehr umschalteten, solange ein AliExpress-Tab offen war. Auch solches passives Auslesen fällt laut den europäischen Datenschutzbehörden (https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) unter die DSGVO und ist einwilligungsbedürftig.

Dass Fingerprinting boomt, liegt auch an Google (https://www.heise.de/news/Google-Device-Fingerprinting-ist-okay-10233355.html), das die Technik seit Anfang 2025 für Werbekunden erlaubt und zugleich Werbeblocker beschneidet (https://www.heise.de/news/uBlock-Origin-Die-Abschaltung-von-Manifest-V2-hat-begonnen-9985221.html). Schutz – mit variierender Effektivität – bieten Browser wie Firefox, Safari und Brave, die Gerätemerkmale vereinheitlichen oder verrauschen, sowie Filter im Heimnetz wie Pi-hole (https://www.heise.de/ratgeber/Adblocker-fuers-Netz-Starthilfe-und-Tipps-zu-Pi-hole-und-AdGuard-Hom

Datenschutz funktioniert nicht nur mit vollgeschriebenem Papier, das in der Schublade verschwindet. Unternehmen müssen festlegen, wer welche Aufgaben übernimmt, wie sie Daten schützen und wie Beschäftigte auf Anfragen oder Datenpannen reagieren. Ein Datenschutz-Management-System bündelt diese Regeln und Abläufe. Es sorgt dafür, dass alle Beteiligten wiederkehrende Aufgaben einheitlich und nachvollziehbar erledigen.

In Episode 167 der Auslegungssache sprechen c’t-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich darüber mit Regina Mühlich. Die Wirtschaftsjuristin und Geschäftsführerin der AdOrga Solutions GmbH berät Unternehmen an der Schnittstelle von Organisation, Technik und Datenschutz. Sie betont: Fast jedes Unternehmen hält bereits irgendeine Form von Datenschutzorganisation vor. Die entscheidende Frage lautet, ob sie tatsächlich funktioniert.

Am Anfang stehen klare Zuständigkeiten. Geschäftsführung, Fachabteilungen. IT und Datenschutzbeauftragte müssen wissen, welche Aufgaben sie übernehmen. Je nach Größe und Geschäftsmodell kann ein interner Beauftragter, ein externer Dienstleister oder eine Mischform mit internen Ansprechpartnern sinnvoll sein. Gerade bei kleinen Unternehmen sollte sich der Aufwand am tatsächlichen Risiko orientieren. Wer etwa Finanz- oder Gesundheitsdaten verarbeitet, muss mehr investieren als ein Betrieb mit wenigen Kundendaten.

Anschließend braucht das Unternehmen einen Überblick über seine Datenverarbeitung: Welche Daten kommen herein, wer nutzt sie, an welche Dienstleister gehen sie und wann werden sie gelöscht? Auch Verträge mit Cloud-Anbietern, Steuerberatern und anderen Partnern gehören auf den Prüfstand. Auf dieser Grundlage lassen sich einfache Abläufe für Auskunftsanfragen, Datenpannen, neue IT-Systeme und die Entsorgung alter Geräte oder Unterlagen entwickeln. Dabei gilt: Ein kleiner Betrieb benötigt keine komplizierten Verfahren für seltene Fälle. Die Regeln müssen vor allem verständlich sein und im Alltag greifen.

Schulungen spielen dabei eine zentrale Rolle. Beschäftigte müssen erkennen, wenn jemand Auskunft verlangt, sich über Werbung beschwert oder ein Rechner auffällig reagiert. Solche Meldungen dürfen nicht in einzelnen Postfächern stecken bleiben. Ebenso wichtig sind regelmäßige Prüfungen. Unternehmen können etwa testen, ob Anfragen zuverlässig beim zuständigen Ansprechpartner landen oder ob ihre Übersicht über die Datenverarbeitung noch aktuell ist. Wie oft sie kontrollieren sollten, hängt vom Risiko und vom Tempo der Veränderungen ab.

Ein Audit beziehungsweise ein Zertifikat allein garantieren laut Mühlich noch keinen guten Datenschutz. Sie können aber helfen, Dokumente sauber zu verwalten und Entscheidungen nachzuweisen. Mühlichs Kernbotschaft lautet deshalb: Unternehmen sollten Datenschutz weder unnötig aufblasen noch vernachlässigen. Ein gutes Management-System passt zum Geschäftsmodell, verbessert sich laufend und schafft klare Abläufe, und damit auch Vertrauen bei Kunden und Beschäftigten.