Auslegungssache – der c't-Datenschutz-Podcast

Seit der Coronapandemie gehören Videokonferenzen zum Arbeitsalltag. Systeme protokollieren mitunter, wer wann wie lange dabei war. Immer häufiger zeichnen Unternehmen ganze Meetings auf oder lassen eine KI Protokolle schreiben. In Episode 169 des c't-Datenschutz-Podcasts zeigen c't-Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich, dass dieses Alltagsthema jede Menge datenschutzrechtliche Fragen mit sich bringt.

Zu Gast ist Nikolaus Bertermann. Der Rechstanwalt arbeitete rund zehn Jahre als Justiziar eines großen europäischen Internetproviders und baute ab 2009 das IT- und Datenschutzteam der Kanzlei SKW Schwarz in Berlin auf. Seit 2011 betreut er als externer Datenschutzbeauftragter Unternehmen im In- und Ausland und führt Datenschutzaudits durch.

Zum Auftakt geht es um einen bizarren Fall aus Österreich. Eine Privatklinik übertrug Bilder aus ihren Operationssälen dauerhaft per Kamera, ohne die Patienten zu informieren oder um Erlaubnis zu fragen. Die österreichische Datenschutzbehörde verhängte dafür 63.800 Euro Bußgeld. Bertermann hält die Strafe wegen der fehlenden Information für richtig. Die Regeln in Art. 9 der DSGVO für Gesundheitsdaten und andere sensible Daten kritisiert er aber scharf: Sie verbiete Verarbeitungen so pauschal, dass Verantwortliche gar nicht erst abwägen könnten.

Dann kommen die drei zum Schwerpunkt der Episode. Wer ein Tool wie Teams oder Zoom einsetzt und zur Konferenz einlädt, trägt nach Bertermanns Einschätzung die Verantwortung im Sinne der DSGVO. Der Tool-Anbieter verarbeite die Daten lediglich in seinem Auftrag. Im Job brauchen Arbeitgeber Bertermann zufolge für eine gewöhnliche Videokonferenz keine Einwilligung der Beschäftigten. Sie können sich auf den Arbeitsvertrag oder ihr berechtigtes Interesse stützen.

Weil technisch fast jedes Tool Leistung und Verhalten kontrollieren könnte, muss aber ein vorhandener Betriebsrat mitbestimmen. Bei der Frage, ob Teilnehmer die Kamera einschalten müssen, lehnt Bertermann sowohl einen Zwang in jeder Lage als auch ein grundsätzliches Recht auf schwarze Kacheln ab. Es komme auf Zweck und Rahmen an. Beim Fernunterricht im Rahmen der Schulpflicht sagt er beispielsweise klar: Kamera an.

Kniffliger wird es beim Mitschneiden. Der Hinweis "Wer drinbleibt, willigt ein" ist für Bertermann keine wirksame Einwilligung. Er empfiehlt Unternehmen, ihre Interessen sauber abzuwägen, das schriftlich festzuhalten und die Teilnehmer vorab offen zu informieren. Das gelingt etwa über die Einladung, anpassbare Pop-up-Texte und verlinkte Datenschutzhinweise. Wer heimlich Screenshots macht und teilt, haftet selbst für mögliche Rechtsverletzungen. Und wer ohne Wissen der anderen ein Mikrofon danebenlegt, macht sich womöglich strafbar.

Auch KI-Transkripte zeichnen den Ton auf, zumindest für einige Sekunden. Dass die Anbieter behaupten, alles laufe "on the fly", ändert daran nichts. Damit greift das § 201 des Strafgesetzbuchs, der das nicht öffentlich gesprochene Wort schützt. Wer aber nach der DSGVO eine solide Rechtsggrundlage hat und vorher transparent informiert, macht sich nicht strafbar.

Zudem warnt die Runde davor, den Zusammenfassungen von Sprachmodellen blind zu vertrauen. Eine KI interpretiere Aussagen lediglich, statt ein fehlerfreies Wortprotokoll zu liefern. Am Ende bleibe die Nachkontrolle stets beim Menschen hängen, resümiert Bertermann: Wer ein automatisiertes Protokoll ungeprüft weiterleitet oder gar veröffentlicht, verantwortet auch dessen Fehler.

Was braucht es, um einen Menschen im Internet zweifelsfrei zu erkennen? Darauf gibt es mehr Antworten, als vielen Nutzern lieb ist. In Episode 168 der Auslegungssache beschäftigen sich c’t-Justiziar Joerg Heidrich und seine Gäste mit den Möglichkeiten der Identifikation von Nutzern im Internet. Dafür hat Heidrich sich zwei c’t-Kollegen eingeladen: Jo Bager, Informatiker und seit fast 30 Jahren in der Redaktion, sowie Sylvester Tremmel, Co-Host des heise-Security-Podcasts „Passwort“ (https://www.heise.de/thema/Passwort_Podcast).

Zum Einstieg gibt es wie immer das Bußgeld der Woche: Die niederländische Aufsicht AP (https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking) hat gegen Uber knapp 825 Millionen Euro (https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html) verhängt, weil der Fahrdienstvermittler Fahrerkonten jahrelang vollautomatisch sperrte, ohne dass dies durch einen Menschen überprüft wurde. Uber wehrt sich gegen diese Entscheidung, die eines der höchsten bislang in Europa verhängten Bußgelder darstellt.

Hauptthema des Podcast ist die Frage, wie Nutzer im Netz erkennbar sind. Rechtlich beginnt dabei alles beim Personenbezug. Nach der DSGVO genügt es, dass eine Person mittelbar identifizierbar ist, etwa über eine Online-Kennung. Klassischer Anknüpfungspunkt ist die IP-Adresse, seit einem Urteil des EuGH (https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html) auch für Websitebetreiber ein personenbezogenes Datum. Ihre Aussagekraft und damit auch die Identifizierbarkeit sinkt allerdings durch die Nutzung von NAT, Mobilfunk und VPNs.

Im Tracking-Alltag, insbesondere im Rahmen von Werbung, spielen dagegen Cookies, Werbe-IDs und vor allem Logins die Hauptrolle. Accountkennungen, Single-Sign-on-Token oder gehashte E-Mail-Adressen verketten Geräte zuverlässiger als probabilistische Verfahren, wobei Hashing die Daten lediglich pseudonymisiert. Das Setzen und Auslesen solcher Kennungen im Endgerät ist nach § 25 TDDDG (https://www.gesetze-im-internet.de/ttdsg/__25.html) grundsätzlich einwilligungsbedürftig.

Ganz ohne explizite Kennung kommt das Browser- und Device-Fingerprinting aus. Es kombiniert User-Agent, Sprache, Auflösung, Zeitzone, Schriften, Renderingunterschiede bei Canvas, WebGL oder Audio und viele weitere Aspekte zu einem oft bemerkenswert eindeutigen Profil. Wie weit das geht, zeigt AliExpress (https://www.heise.de/news/AliExpress-trackt-Nutzer-via-unhoerbarem-Audio-Fingerprinting-11424127.html): Der Shop erzeugte über die Web Audio API ein unhörbares Signal und vermaß, wie Prozessor, Treiber und Browser es verarbeiten. Aufgefallen ist das nur, weil bei einem Entwickler die Bluetooth-Kopfhörer nicht mehr umschalteten, solange ein AliExpress-Tab offen war. Auch solches passives Auslesen fällt laut den europäischen Datenschutzbehörden (https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) unter die DSGVO und ist einwilligungsbedürftig.

Dass Fingerprinting boomt, liegt auch an Google (https://www.heise.de/news/Google-Device-Fingerprinting-ist-okay-10233355.html), das die Technik seit Anfang 2025 für Werbekunden erlaubt und zugleich Werbeblocker beschneidet (https://www.heise.de/news/uBlock-Origin-Die-Abschaltung-von-Manifest-V2-hat-begonnen-9985221.html). Schutz – mit variierender Effektivität – bieten Browser wie Firefox, Safari und Brave, die Gerätemerkmale vereinheitlichen oder verrauschen, sowie Filter im Heimnetz wie Pi-hole (https://www.heise.de/ratgeber/Adblocker-fuers-Netz-Starthilfe-und-Tipps-zu-Pi-hole-und-AdGuard-Hom

Datenschutz funktioniert nicht nur mit vollgeschriebenem Papier, das in der Schublade verschwindet. Unternehmen müssen festlegen, wer welche Aufgaben übernimmt, wie sie Daten schützen und wie Beschäftigte auf Anfragen oder Datenpannen reagieren. Ein Datenschutz-Management-System bündelt diese Regeln und Abläufe. Es sorgt dafür, dass alle Beteiligten wiederkehrende Aufgaben einheitlich und nachvollziehbar erledigen.

In Episode 167 der Auslegungssache sprechen c’t-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich darüber mit Regina Mühlich. Die Wirtschaftsjuristin und Geschäftsführerin der AdOrga Solutions GmbH berät Unternehmen an der Schnittstelle von Organisation, Technik und Datenschutz. Sie betont: Fast jedes Unternehmen hält bereits irgendeine Form von Datenschutzorganisation vor. Die entscheidende Frage lautet, ob sie tatsächlich funktioniert.

Am Anfang stehen klare Zuständigkeiten. Geschäftsführung, Fachabteilungen. IT und Datenschutzbeauftragte müssen wissen, welche Aufgaben sie übernehmen. Je nach Größe und Geschäftsmodell kann ein interner Beauftragter, ein externer Dienstleister oder eine Mischform mit internen Ansprechpartnern sinnvoll sein. Gerade bei kleinen Unternehmen sollte sich der Aufwand am tatsächlichen Risiko orientieren. Wer etwa Finanz- oder Gesundheitsdaten verarbeitet, muss mehr investieren als ein Betrieb mit wenigen Kundendaten.

Anschließend braucht das Unternehmen einen Überblick über seine Datenverarbeitung: Welche Daten kommen herein, wer nutzt sie, an welche Dienstleister gehen sie und wann werden sie gelöscht? Auch Verträge mit Cloud-Anbietern, Steuerberatern und anderen Partnern gehören auf den Prüfstand. Auf dieser Grundlage lassen sich einfache Abläufe für Auskunftsanfragen, Datenpannen, neue IT-Systeme und die Entsorgung alter Geräte oder Unterlagen entwickeln. Dabei gilt: Ein kleiner Betrieb benötigt keine komplizierten Verfahren für seltene Fälle. Die Regeln müssen vor allem verständlich sein und im Alltag greifen.

Schulungen spielen dabei eine zentrale Rolle. Beschäftigte müssen erkennen, wenn jemand Auskunft verlangt, sich über Werbung beschwert oder ein Rechner auffällig reagiert. Solche Meldungen dürfen nicht in einzelnen Postfächern stecken bleiben. Ebenso wichtig sind regelmäßige Prüfungen. Unternehmen können etwa testen, ob Anfragen zuverlässig beim zuständigen Ansprechpartner landen oder ob ihre Übersicht über die Datenverarbeitung noch aktuell ist. Wie oft sie kontrollieren sollten, hängt vom Risiko und vom Tempo der Veränderungen ab.

Ein Audit beziehungsweise ein Zertifikat allein garantieren laut Mühlich noch keinen guten Datenschutz. Sie können aber helfen, Dokumente sauber zu verwalten und Entscheidungen nachzuweisen. Mühlichs Kernbotschaft lautet deshalb: Unternehmen sollten Datenschutz weder unnötig aufblasen noch vernachlässigen. Ein gutes Management-System passt zum Geschäftsmodell, verbessert sich laufend und schafft klare Abläufe, und damit auch Vertrauen bei Kunden und Beschäftigten.

Seit dem 18. August gilt in der EU die E-Evidence-Verordnung (EEVO). Sie soll Ermittlungen über Ländergrenzen hinweg beschleunigen. Behörden können sich nun direkt an Diensteanbieter in anderen EU-Staaten wenden und verlangen, dass diese Daten zu Tatverdächtigen herausgeben oder sichern. Langwierige staatliche Rechtshilfe soll dadurch in vielen Fällen entfallen.

Die Regeln erfassen weit mehr als große Telekommunikations- und Internetkonzerne. Auch Hosting- und Cloud-Dienste, E-Mail-Anbieter, Domain-Verwalter, soziale Netzwerke und Betreiber von Foren können von Strafverfolgern angefragt werden. Sie müssen sich bei einem EU-Portal registrieren. Selbst Anbieter außerhalb der EU müssen mitmachen, wenn sie ihre Dienste in Europa anbieten, und eine bevollmächtigte Stelle in der EU melden.

In Episode 166 der Auslegungssache diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich die Folgen mit dem Rechtsanwalt Thomas Rickert. Er arbeitet vor allem zu Datenschutz- und IT-Themen und ist Geschäftsführer der Legal-Tech-Plattform EviGate, die Unternehmen bei der Bearbeitung solcher Anfragen unterstützt.

Besonders kritisch sehen die Gesprächspartner die knappen Fristen. Für gewöhnliche Herausgaben bleiben zehn Tage. Droht Gefahr für Leib und Leben oder für wichtige Infrastruktur, müssen Anbieter innerhalb von acht Stunden reagieren, auch nachts oder am Wochenende. Daten müssen sie auf Aufforderung unverzüglich sichern. Dafür brauchen sie laut Rickert eigentlich geschulte Beschäftigte. Im Unternehmen müssen Zuständigkeiten für solche Fälle geregelt sein, außerdem der technische Zugriff auf verschiedene Systeme.

Wer sich nicht registriert oder eine Anfrage falsch bearbeitet, riskiert hohe Bußgelder. Je nach Verstoß können bis zu 500.000 Euro fällig werden. Bei Unternehmen mit mehr als 25 Millionen Euro Jahresumsatz kann die Sanktion auf zwei Prozent des weltweiten Jahresumsatzes steigen. Der Druck könnte Anbieter dazu verleiten, Daten vorschnell herauszugeben, statt eine Anfrage sorgfältig zu prüfen.

Hinzu kommt ein grundlegendes Problem: Bei Eilanfragen müssen Anbieter wie erwähnt Daten unter Umständen schon nach acht Stunden liefern, während die zuständige Behörde im eigenen Land bis zu 96 Stunden für Einwände hat. Dann sind die Informationen längst übermittelt. Das kann Journalisten, Ärzte, Rechtsanwälte und deren Kontaktpersonen gefährden. Anbieter dürfen zwar auf mögliche Verletzungen vertraulicher Kommunikation hinweisen, die Herausgabe aber nicht ohne Weiteres verweigern.

Die Runde erkennt den Nutzen schnellerer Ermittlungen bei Terrorismus, Menschenhandel, Kindesmissbrauch oder Cyberkriminalität an. Dennoch überträgt das neue E-Evidence-System einen erheblichen Teil der Prüfung auf private Anbieter, die weder vollständige Ermittlungsakten erhalten noch ausreichend Expertise haben. Das Fazit fällt deshalb skeptisch aus: E-Evidence kann Strafverfolgung beschleunigen, schafft aber zugleich großes Missbrauchspotenzial und setzt den Schutz vertraulicher Daten unter Druck.

In Episode 165 nehmen Holger und Joerg mehrere aktuelle Entwicklungen im europäischen Datenschutz unter die Lupe. Zu Gast ist Prof. Alexander Golland, der seit August an der Hochschule Osnabrück zum Recht der Informationsgesellschaft, zum Datenschutz und zum Schutz geistigen Eigentums lehrt.

Zuerst geht es um ein Bußgeld der italienischen Datenschutzbehörde Garante gegen die US-Firma Character Technologies. Deren Chatbot-Plattform Character.AI erlaubt es Nutzern, mit virtuellen Charakteren zu kommunizieren, von Mafia-Bossen bis zu simulierten Psychotherapeuten. Die Behörde monierte intransparente Datenschutzhinweise, fehlende italienische Übersetzungen, unklare Rechtsgrundlagen und mangelhaften Jugendschutz. Mit 158.000 Euro fiel die Strafe angesichts massiver Vorwürfe und tragischer Fälle in den USA, bei denen Jugendliche nach Chatbot-Interaktionen Suizid begingen, aus Sicht der Diskutanten eher milde aus.

Ein weiteres zentrales Thema ist der transatlantische Datenverkehr. Der US Supreme Court hat entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) auch ohne schwerwiegende Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als unabhängige Behörde. Da die Handelsaufsicht eine Rolle im Data Privacy Framework (DPF) spielt, sorgte das für Aufregung.

Alexander beruhigt jedoch: Der Europäische Gerichtshof (EuGH) habe sich beim Kippen des Vorgänger-Abkommens Privacy Shield weniger an der FTC als am fehlenden Rechtsschutz gegen US-Geheimdienste gestört. Kritischer wäre es, würde auch das Privacy and Civil Liberties Oversight Board (PCLOB) als abhängig eingestuft. Unternehmen empfiehlt er dennoch, Standarddatenschutzklauseln als Fallback-Option vorzubereiten, allerdings mit aufschiebender Bedingung, um bestehende Haftungsregelungen nicht auszuhebeln.

Zwei aktuelle Entscheidungen des EuGH bringen einige Klarstellungen in Sachen DSGVO-Auslegung. Im Fall eines niedersächsischen Haustechnikbetriebs ging es um Daten aus einem privaten eBay-Konto, die möglicherweise auf unzulässigem Weg beschafft worden waren. Der EuGH schließt ihre Verwendung als Beweis nicht grundsätzlich aus. Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden dürfen und ob sie damit die Rechte der betroffenen Person zu stark verletzen.

Im zweiten Fall prüfte der EuGH eine öffentlich zugängliche Liste der österreichischen Anti-Doping-Agentur. Darin standen Namen, Sportarten, Verstöße und Sperrzeiten. Die bloße Information, dass jemand gedopt hat, gilt dem Urteil zufolge nicht automatisch als Gesundheitsinformation. Anders kann es aussehen, wenn die konkrete Substanz oder ihre Anwendung Rückschlüsse auf eine Erkrankung zulässt. Die Veröffentlichung kann zwar dem Schutz des fairen Sports dienen, muss aber angemessen bleiben und Besonderheiten einzelner Fälle berücksichtigen.

Zum Schluss fällt in der Podcast-Episode der Blick auf den geplanten "Digital-Omnibus", mit dem die EU ihre Datenschutz- und Digitalregeln vereinfachen will. Sinnvolle Vorschläge wie eine gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle treffen auf alte Konflikte um Cookies, personalisierte Werbung und Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten liegen bei zentralen Punkten auseinander. Alexander rechnet deshalb höchstens mit einem "Reförmchen", vorausgesetzt, die Verhandler Rat, Parlament und Kommission klammern die besonders umstrittenen Cookie-Regeln aus.