Auslegungssache – der c't-Datenschutz-Podcast

Was braucht es, um einen Menschen im Internet zweifelsfrei zu erkennen? Darauf gibt es mehr Antworten, als vielen Nutzern lieb ist. In Episode 168 der Auslegungssache beschäftigen sich c’t-Justiziar Joerg Heidrich und seine Gäste mit den Möglichkeiten der Identifikation von Nutzern im Internet. Dafür hat Heidrich sich zwei c’t-Kollegen eingeladen: Jo Bager, Informatiker und seit fast 30 Jahren in der Redaktion, sowie Sylvester Tremmel, Co-Host des heise-Security-Podcasts „Passwort“ (https://www.heise.de/thema/Passwort_Podcast).

Zum Einstieg gibt es wie immer das Bußgeld der Woche: Die niederländische Aufsicht AP (https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking) hat gegen Uber knapp 825 Millionen Euro (https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html) verhängt, weil der Fahrdienstvermittler Fahrerkonten jahrelang vollautomatisch sperrte, ohne dass dies durch einen Menschen überprüft wurde. Uber wehrt sich gegen diese Entscheidung, die eines der höchsten bislang in Europa verhängten Bußgelder darstellt.

Hauptthema des Podcast ist die Frage, wie Nutzer im Netz erkennbar sind. Rechtlich beginnt dabei alles beim Personenbezug. Nach der DSGVO genügt es, dass eine Person mittelbar identifizierbar ist, etwa über eine Online-Kennung. Klassischer Anknüpfungspunkt ist die IP-Adresse, seit einem Urteil des EuGH (https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html) auch für Websitebetreiber ein personenbezogenes Datum. Ihre Aussagekraft und damit auch die Identifizierbarkeit sinkt allerdings durch die Nutzung von NAT, Mobilfunk und VPNs.

Im Tracking-Alltag, insbesondere im Rahmen von Werbung, spielen dagegen Cookies, Werbe-IDs und vor allem Logins die Hauptrolle. Accountkennungen, Single-Sign-on-Token oder gehashte E-Mail-Adressen verketten Geräte zuverlässiger als probabilistische Verfahren, wobei Hashing die Daten lediglich pseudonymisiert. Das Setzen und Auslesen solcher Kennungen im Endgerät ist nach § 25 TDDDG (https://www.gesetze-im-internet.de/ttdsg/__25.html) grundsätzlich einwilligungsbedürftig.

Ganz ohne explizite Kennung kommt das Browser- und Device-Fingerprinting aus. Es kombiniert User-Agent, Sprache, Auflösung, Zeitzone, Schriften, Renderingunterschiede bei Canvas, WebGL oder Audio und viele weitere Aspekte zu einem oft bemerkenswert eindeutigen Profil. Wie weit das geht, zeigt AliExpress (https://www.heise.de/news/AliExpress-trackt-Nutzer-via-unhoerbarem-Audio-Fingerprinting-11424127.html): Der Shop erzeugte über die Web Audio API ein unhörbares Signal und vermaß, wie Prozessor, Treiber und Browser es verarbeiten. Aufgefallen ist das nur, weil bei einem Entwickler die Bluetooth-Kopfhörer nicht mehr umschalteten, solange ein AliExpress-Tab offen war. Auch solches passives Auslesen fällt laut den europäischen Datenschutzbehörden (https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) unter die DSGVO und ist einwilligungsbedürftig.

Dass Fingerprinting boomt, liegt auch an Google (https://www.heise.de/news/Google-Device-Fingerprinting-ist-okay-10233355.html), das die Technik seit Anfang 2025 für Werbekunden erlaubt und zugleich Werbeblocker beschneidet (https://www.heise.de/news/uBlock-Origin-Die-Abschaltung-von-Manifest-V2-hat-begonnen-9985221.html). Schutz – mit variierender Effektivität – bieten Browser wie Firefox, Safari und Brave, die Gerätemerkmale vereinheitlichen oder verrauschen, sowie Filter im Heimnetz wie Pi-hole (https://www.heise.de/ratgeber/Adblocker-fuers-Netz-Starthilfe-und-Tipps-zu-Pi-hole-und-AdGuard-Hom

Datenschutz funktioniert nicht nur mit vollgeschriebenem Papier, das in der Schublade verschwindet. Unternehmen müssen festlegen, wer welche Aufgaben übernimmt, wie sie Daten schützen und wie Beschäftigte auf Anfragen oder Datenpannen reagieren. Ein Datenschutz-Management-System bündelt diese Regeln und Abläufe. Es sorgt dafür, dass alle Beteiligten wiederkehrende Aufgaben einheitlich und nachvollziehbar erledigen.

In Episode 167 der Auslegungssache sprechen c’t-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich darüber mit Regina Mühlich. Die Wirtschaftsjuristin und Geschäftsführerin der AdOrga Solutions GmbH berät Unternehmen an der Schnittstelle von Organisation, Technik und Datenschutz. Sie betont: Fast jedes Unternehmen hält bereits irgendeine Form von Datenschutzorganisation vor. Die entscheidende Frage lautet, ob sie tatsächlich funktioniert.

Am Anfang stehen klare Zuständigkeiten. Geschäftsführung, Fachabteilungen. IT und Datenschutzbeauftragte müssen wissen, welche Aufgaben sie übernehmen. Je nach Größe und Geschäftsmodell kann ein interner Beauftragter, ein externer Dienstleister oder eine Mischform mit internen Ansprechpartnern sinnvoll sein. Gerade bei kleinen Unternehmen sollte sich der Aufwand am tatsächlichen Risiko orientieren. Wer etwa Finanz- oder Gesundheitsdaten verarbeitet, muss mehr investieren als ein Betrieb mit wenigen Kundendaten.

Anschließend braucht das Unternehmen einen Überblick über seine Datenverarbeitung: Welche Daten kommen herein, wer nutzt sie, an welche Dienstleister gehen sie und wann werden sie gelöscht? Auch Verträge mit Cloud-Anbietern, Steuerberatern und anderen Partnern gehören auf den Prüfstand. Auf dieser Grundlage lassen sich einfache Abläufe für Auskunftsanfragen, Datenpannen, neue IT-Systeme und die Entsorgung alter Geräte oder Unterlagen entwickeln. Dabei gilt: Ein kleiner Betrieb benötigt keine komplizierten Verfahren für seltene Fälle. Die Regeln müssen vor allem verständlich sein und im Alltag greifen.

Schulungen spielen dabei eine zentrale Rolle. Beschäftigte müssen erkennen, wenn jemand Auskunft verlangt, sich über Werbung beschwert oder ein Rechner auffällig reagiert. Solche Meldungen dürfen nicht in einzelnen Postfächern stecken bleiben. Ebenso wichtig sind regelmäßige Prüfungen. Unternehmen können etwa testen, ob Anfragen zuverlässig beim zuständigen Ansprechpartner landen oder ob ihre Übersicht über die Datenverarbeitung noch aktuell ist. Wie oft sie kontrollieren sollten, hängt vom Risiko und vom Tempo der Veränderungen ab.

Ein Audit beziehungsweise ein Zertifikat allein garantieren laut Mühlich noch keinen guten Datenschutz. Sie können aber helfen, Dokumente sauber zu verwalten und Entscheidungen nachzuweisen. Mühlichs Kernbotschaft lautet deshalb: Unternehmen sollten Datenschutz weder unnötig aufblasen noch vernachlässigen. Ein gutes Management-System passt zum Geschäftsmodell, verbessert sich laufend und schafft klare Abläufe, und damit auch Vertrauen bei Kunden und Beschäftigten.

Seit dem 18. August gilt in der EU die E-Evidence-Verordnung (EEVO). Sie soll Ermittlungen über Ländergrenzen hinweg beschleunigen. Behörden können sich nun direkt an Diensteanbieter in anderen EU-Staaten wenden und verlangen, dass diese Daten zu Tatverdächtigen herausgeben oder sichern. Langwierige staatliche Rechtshilfe soll dadurch in vielen Fällen entfallen.

Die Regeln erfassen weit mehr als große Telekommunikations- und Internetkonzerne. Auch Hosting- und Cloud-Dienste, E-Mail-Anbieter, Domain-Verwalter, soziale Netzwerke und Betreiber von Foren können von Strafverfolgern angefragt werden. Sie müssen sich bei einem EU-Portal registrieren. Selbst Anbieter außerhalb der EU müssen mitmachen, wenn sie ihre Dienste in Europa anbieten, und eine bevollmächtigte Stelle in der EU melden.

In Episode 166 der Auslegungssache diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich die Folgen mit dem Rechtsanwalt Thomas Rickert. Er arbeitet vor allem zu Datenschutz- und IT-Themen und ist Geschäftsführer der Legal-Tech-Plattform EviGate, die Unternehmen bei der Bearbeitung solcher Anfragen unterstützt.

Besonders kritisch sehen die Gesprächspartner die knappen Fristen. Für gewöhnliche Herausgaben bleiben zehn Tage. Droht Gefahr für Leib und Leben oder für wichtige Infrastruktur, müssen Anbieter innerhalb von acht Stunden reagieren, auch nachts oder am Wochenende. Daten müssen sie auf Aufforderung unverzüglich sichern. Dafür brauchen sie laut Rickert eigentlich geschulte Beschäftigte. Im Unternehmen müssen Zuständigkeiten für solche Fälle geregelt sein, außerdem der technische Zugriff auf verschiedene Systeme.

Wer sich nicht registriert oder eine Anfrage falsch bearbeitet, riskiert hohe Bußgelder. Je nach Verstoß können bis zu 500.000 Euro fällig werden. Bei Unternehmen mit mehr als 25 Millionen Euro Jahresumsatz kann die Sanktion auf zwei Prozent des weltweiten Jahresumsatzes steigen. Der Druck könnte Anbieter dazu verleiten, Daten vorschnell herauszugeben, statt eine Anfrage sorgfältig zu prüfen.

Hinzu kommt ein grundlegendes Problem: Bei Eilanfragen müssen Anbieter wie erwähnt Daten unter Umständen schon nach acht Stunden liefern, während die zuständige Behörde im eigenen Land bis zu 96 Stunden für Einwände hat. Dann sind die Informationen längst übermittelt. Das kann Journalisten, Ärzte, Rechtsanwälte und deren Kontaktpersonen gefährden. Anbieter dürfen zwar auf mögliche Verletzungen vertraulicher Kommunikation hinweisen, die Herausgabe aber nicht ohne Weiteres verweigern.

Die Runde erkennt den Nutzen schnellerer Ermittlungen bei Terrorismus, Menschenhandel, Kindesmissbrauch oder Cyberkriminalität an. Dennoch überträgt das neue E-Evidence-System einen erheblichen Teil der Prüfung auf private Anbieter, die weder vollständige Ermittlungsakten erhalten noch ausreichend Expertise haben. Das Fazit fällt deshalb skeptisch aus: E-Evidence kann Strafverfolgung beschleunigen, schafft aber zugleich großes Missbrauchspotenzial und setzt den Schutz vertraulicher Daten unter Druck.

In Episode 165 nehmen Holger und Joerg mehrere aktuelle Entwicklungen im europäischen Datenschutz unter die Lupe. Zu Gast ist Prof. Alexander Golland, der seit August an der Hochschule Osnabrück zum Recht der Informationsgesellschaft, zum Datenschutz und zum Schutz geistigen Eigentums lehrt.

Zuerst geht es um ein Bußgeld der italienischen Datenschutzbehörde Garante gegen die US-Firma Character Technologies. Deren Chatbot-Plattform Character.AI erlaubt es Nutzern, mit virtuellen Charakteren zu kommunizieren, von Mafia-Bossen bis zu simulierten Psychotherapeuten. Die Behörde monierte intransparente Datenschutzhinweise, fehlende italienische Übersetzungen, unklare Rechtsgrundlagen und mangelhaften Jugendschutz. Mit 158.000 Euro fiel die Strafe angesichts massiver Vorwürfe und tragischer Fälle in den USA, bei denen Jugendliche nach Chatbot-Interaktionen Suizid begingen, aus Sicht der Diskutanten eher milde aus.

Ein weiteres zentrales Thema ist der transatlantische Datenverkehr. Der US Supreme Court hat entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) auch ohne schwerwiegende Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als unabhängige Behörde. Da die Handelsaufsicht eine Rolle im Data Privacy Framework (DPF) spielt, sorgte das für Aufregung.

Alexander beruhigt jedoch: Der Europäische Gerichtshof (EuGH) habe sich beim Kippen des Vorgänger-Abkommens Privacy Shield weniger an der FTC als am fehlenden Rechtsschutz gegen US-Geheimdienste gestört. Kritischer wäre es, würde auch das Privacy and Civil Liberties Oversight Board (PCLOB) als abhängig eingestuft. Unternehmen empfiehlt er dennoch, Standarddatenschutzklauseln als Fallback-Option vorzubereiten, allerdings mit aufschiebender Bedingung, um bestehende Haftungsregelungen nicht auszuhebeln.

Zwei aktuelle Entscheidungen des EuGH bringen einige Klarstellungen in Sachen DSGVO-Auslegung. Im Fall eines niedersächsischen Haustechnikbetriebs ging es um Daten aus einem privaten eBay-Konto, die möglicherweise auf unzulässigem Weg beschafft worden waren. Der EuGH schließt ihre Verwendung als Beweis nicht grundsätzlich aus. Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden dürfen und ob sie damit die Rechte der betroffenen Person zu stark verletzen.

Im zweiten Fall prüfte der EuGH eine öffentlich zugängliche Liste der österreichischen Anti-Doping-Agentur. Darin standen Namen, Sportarten, Verstöße und Sperrzeiten. Die bloße Information, dass jemand gedopt hat, gilt dem Urteil zufolge nicht automatisch als Gesundheitsinformation. Anders kann es aussehen, wenn die konkrete Substanz oder ihre Anwendung Rückschlüsse auf eine Erkrankung zulässt. Die Veröffentlichung kann zwar dem Schutz des fairen Sports dienen, muss aber angemessen bleiben und Besonderheiten einzelner Fälle berücksichtigen.

Zum Schluss fällt in der Podcast-Episode der Blick auf den geplanten "Digital-Omnibus", mit dem die EU ihre Datenschutz- und Digitalregeln vereinfachen will. Sinnvolle Vorschläge wie eine gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle treffen auf alte Konflikte um Cookies, personalisierte Werbung und Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten liegen bei zentralen Punkten auseinander. Alexander rechnet deshalb höchstens mit einem "Reförmchen", vorausgesetzt, die Verhandler Rat, Parlament und Kommission klammern die besonders umstrittenen Cookie-Regeln aus.

Seit 2006 gilt in Deutschland ein damals für revolutionär gehaltenes Prinzip: Jeder Mensch darf beim Staat Informationen anfordern, ohne dafür einen bestimmten Grund nennen zu müssen. Das Informationsfreiheitsgesetz (IFG) drehte die alte Logik des Amtsgeheimnisses um. Nun plant die schwarz-rote Koalition, dieses Recht drastisch einzuschränken. In Episode 164 des c't-Datenschutz-Podcasts diskutieren Holger und Joerg mit einem der prominentesten Kämpfer für Transparenz, was die Pläne bedeuten würden.

Zu Gast ist Arne Semsrott, Projektleiter der Plattform "FragDenStaat" bei der Open Knowledge Foundation. Über das Portal wurden in 15 Jahren mehr als 330.000 Anfragen an Behörden gestellt und die Antworten unter Wahrung des Datenschutzes veröffentlicht. Skandale wie die Maskenaffäre von Jens Spahn oder Ungerimtheiten rund um die Plagiatsaffäre von Franziska Giffey kamen erst durch solche Anfragen ans Licht. Arne erinnert daran, dass das erste Informationsfreiheitsgesetz der Welt bereits 1766 in Schweden entstand und heute weltweit fast alle Staaten ein solches Recht kennen - in Europa fehlt es nur in Belarus.

Genau dieses Recht steht nun zur Disposition. Die Koalition will den Kreis der Anspruchsberechtigten stark einschränken: Nur noch natürliche Personen mit einem "berechtigten Interesse" sollen Anfragen stellen dürfen, beschränkt auf in Deutschland lebende Deutsche und Unionsbürger. Damit fielen Organisationen wie FragDenStaat oder Verlage heraus. Auch Journalisten wären betroffen, wenn sie auf andere Auskunftsansprüche verwiesen werden. Arne, Holger und Joerg zeigen im Gespräch auf, dass das voraussetzungslose Recht auf Information damit ausgehöhlt würde. Wer sein Interesse offenlegen müsste, gefährdete als Journalist bereits seine Recherche.

Hinzu kommen weitere geplante Einschränkungen: mehr Ausnahmetatbestände etwa mit Verweis auf Sicherheit und kritische Infrastruktur, das Schwärzen sämtlicher Mitarbeiternamen und die Abschaffung des Gebührendeckels von derzeit 500 Euro. Arne betont, dass für die vorgebrachten Begründungen jeder Beleg fehlt: Weder gebe es dokumentierte Fälle bedrohter Beamter noch Missbrauch durch ausländische Anfragen. Er vermutet, dass sich die Verantwortlichen schlicht eines lästigen Kontrollinstruments entledigen wollen. Als besonders brisant nennt er interne Pläne des Innenministeriums, der beziehungsweise bald dem Bundesdatenschutzbeauftragten die Zuständigkeit für Informationsfreiheit ganz zu entziehen.

Trotz der ernüchternden Analyse endet die Episode kämpferisch. Holger und Joerg legen offen, dass sie eine Petition gegen die De-Facto-Beschneidung des IFG unterzeichnet haben. Diese Petition gegen die Pläne hat bereits rund 600.000 Unterschriften gesammelt und sorgt vor allem innerhalb der SPD für Unruhe. Arne ruft dazu auf, Abgeordnete freundlich, aber bestimmt anzusprechen, und sieht durchaus Chancen, das Vorhaben zu stoppen. Sein Fazit: Hier drohe ein Frontalangriff auf die Bürgerrechte. Und das gerade in Zeiten, in denen autoritäre Kräfte erstarken.