Auslegungssache – der c't-Datenschutz-Podcast

Seit 2006 gilt in Deutschland ein damals für revolutionär gehaltenes Prinzip: Jeder Mensch darf beim Staat Informationen anfordern, ohne dafür einen bestimmten Grund nennen zu müssen. Das Informationsfreiheitsgesetz (IFG) drehte die alte Logik des Amtsgeheimnisses um. Nun plant die schwarz-rote Koalition, dieses Recht drastisch einzuschränken. In Episode 164 des c't-Datenschutz-Podcasts diskutieren Holger und Joerg mit einem der prominentesten Kämpfer für Transparenz, was die Pläne bedeuten würden.

Zu Gast ist Arne Semsrott, Projektleiter der Plattform "FragDenStaat" bei der Open Knowledge Foundation. Über das Portal wurden in 15 Jahren mehr als 330.000 Anfragen an Behörden gestellt und die Antworten unter Wahrung des Datenschutzes veröffentlicht. Skandale wie die Maskenaffäre von Jens Spahn oder Ungerimtheiten rund um die Plagiatsaffäre von Franziska Giffey kamen erst durch solche Anfragen ans Licht. Arne erinnert daran, dass das erste Informationsfreiheitsgesetz der Welt bereits 1766 in Schweden entstand und heute weltweit fast alle Staaten ein solches Recht kennen - in Europa fehlt es nur in Belarus.

Genau dieses Recht steht nun zur Disposition. Die Koalition will den Kreis der Anspruchsberechtigten stark einschränken: Nur noch natürliche Personen mit einem "berechtigten Interesse" sollen Anfragen stellen dürfen, beschränkt auf in Deutschland lebende Deutsche und Unionsbürger. Damit fielen Organisationen wie FragDenStaat oder Verlage heraus. Auch Journalisten wären betroffen, wenn sie auf andere Auskunftsansprüche verwiesen werden. Arne, Holger und Joerg zeigen im Gespräch auf, dass das voraussetzungslose Recht auf Information damit ausgehöhlt würde. Wer sein Interesse offenlegen müsste, gefährdete als Journalist bereits seine Recherche.

Hinzu kommen weitere geplante Einschränkungen: mehr Ausnahmetatbestände etwa mit Verweis auf Sicherheit und kritische Infrastruktur, das Schwärzen sämtlicher Mitarbeiternamen und die Abschaffung des Gebührendeckels von derzeit 500 Euro. Arne betont, dass für die vorgebrachten Begründungen jeder Beleg fehlt: Weder gebe es dokumentierte Fälle bedrohter Beamter noch Missbrauch durch ausländische Anfragen. Er vermutet, dass sich die Verantwortlichen schlicht eines lästigen Kontrollinstruments entledigen wollen. Als besonders brisant nennt er interne Pläne des Innenministeriums, der beziehungsweise bald dem Bundesdatenschutzbeauftragten die Zuständigkeit für Informationsfreiheit ganz zu entziehen.

Trotz der ernüchternden Analyse endet die Episode kämpferisch. Holger und Joerg legen offen, dass sie eine Petition gegen die De-Facto-Beschneidung des IFG unterzeichnet haben. Diese Petition gegen die Pläne hat bereits rund 600.000 Unterschriften gesammelt und sorgt vor allem innerhalb der SPD für Unruhe. Arne ruft dazu auf, Abgeordnete freundlich, aber bestimmt anzusprechen, und sieht durchaus Chancen, das Vorhaben zu stoppen. Sein Fazit: Hier drohe ein Frontalangriff auf die Bürgerrechte. Und das gerade in Zeiten, in denen autoritäre Kräfte erstarken.

Wer im Gesundheitswesen für Datenschutz zuständig ist, arbeitet dauerhaft mit den heikelsten Informationen überhaupt: den "besonderen Kategorien personenbezogener Daten" nach Art. 9 der DSGVO. In Episode 163 spricht Gästin Daniela Will darüber, wie sie diese Aufgabe bewältigt. Sie leitet die Stabsstelle Datenschutz der Münchnen Klinik gGmbH, einem der größten kommunalen Klinikverbünde Deutschlands mit fünf Häusern und rund 8000 Beschäftigten. Ihr Credo: konsequent risikoorientiert arbeiten, "first things first".

Bevor es ans Kernthema geht, nehmen sich Holger, Joerg und Daniela die aktuellen Reformpläne der Bundesregierung vor. Kleine und mittlere Unternehmen sowie Vereine sollen nach dem Willen der Regierung deutlich weniger Datenschutzpflichten erfüllen müssen. Auch die Pflicht zu betrieblichen Datenschutzbeauftragten soll in vielen Fällen fallen. Daniela hält das für den falschen Weg. Das eigentliche Problem kleiner Unternehmen liege oft nicht im Datenschutz selbst, sondern in ihrer schwachen Position gegenüber großen IT-Anbietern wie Microsoft, SAP oder Workday. Hier brauche es klare Regeln für die Anbieter, nicht weniger Schutz für Betroffene.

Scharf kritisiert die Runde auch Pläne, das Informationsfreiheitsrecht im Bund einzuschränken. Anfragen an Behörden könnten künftig nur noch natürlichen Personen mit besonderem Interesse offenstehen. Vereine, NGOs und möglicherweise auch Medien würden wohl vom Recht ausgeschlossen. Zudem könnten die bislang gedeckelten Kosten für Anfragen exorbitant steigen. Holger, Joerg und Daniela sehen darin ein fatales Signal: Gerade in Zeiten sinkenden Vertrauens in Politik und Verwaltung müsse der Staat transparenter werden, nicht verschlossener.

Das Bußgeld der Woche kommt aus Frankreich: Fünf Millionen Euro musste ein Marktforschungsunternehmen zahlen, das Daten aus 14.000 Apotheken als "anonym" ausgab, obwohl Geburtsjahr, Geschlecht, Diagnose und Symptome eine Reidentifizierung leicht ermöglichten. Für die Runde ein Musterbeispiel dafür, wie fahrlässig mit dem Unterschied zwischen Pseudonymität und Anonymität umgegangen wird.

Im Hauptteil geht es um den Umgang mit Artikel-9-Daten. Daniela schildert für Joerg überraschend Pragmatisches: Im Klinikalltag reicht ihr Art. 9 Abs. 2 als Rechtsgrundlage für fast alle Behandlungen aus, kombiniert mit dem Behandlungsvertrag. Einwilligungen braucht sie nur in wenigen Fällen, etwa bei der Weitergabe an Hausärzte oder für Forschungsstudien.

Als Segen bezeichnet sie das neue Gesundheitsdatennutzungsgesetz, das die interne Auswertung vorhandener Daten zur Qualitäts- und Patientensicherheit erleichtere. Beim europäischen Gesundheitsdatenraum (EHDS) und der elektronischen Patientenakte (ePa) hake es dagegen weiter: Daten werden bislang meist nur als unstrukturierte Dokumente übergeben, echte Interoperabilität ist noch Zukunftsmusik.

Besonders anspruchsvoll sind Auskunftsbegehren zu medizinischen Daten. Daniela muss jede Anfrage inhaltlich prüfen, damit etwa frische, schwerwiegende Diagnosen nicht ungefiltert herausgehen, sondern zuerst ärztlich begleitet werden. Heikel wird es bei Minderjährigen und in Sorgerechtsstreitigkeiten, wo Auskunftsrechte oft als Kontrollinstrument missbraucht werden. Danielas Fazit: Datenschutz in der Klinik funktioniert nur mit Augenmaß, Erfahrung und enger Zusammenarbeit zwischen Medizin, IT und Verwaltung.

In Episode 162 des c't-Datenschutz-Podcasts diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich mit Tobias Keber, dem Landesbeauftragten für den Datenschutz und Informationsfreiheit (LfDI) in Baden-Württemberg und aktuellen Vorsitzenden der Datenschutzkonferenz (DSK).

Zum Einstieg sprechen die drei über ein Bußgeld von 100.000 Euro gegen eine kroatische Immobilienagentur. Neben unzulässig lange gespeicherten Unterlagen beanstandete die Behörde unzureichende Datenschutzschulungen. Keber betont, dass Datenschutz nur wirksam sei, wenn Beschäftigte praxisnah und regelmäßig geschult würden. Ein reines "Wegklicken" von Online-Folien reiche nicht aus.

Zentrales Thema des Gesprächs ist der Schock über die Pläne der neuen baden-württembergischen Landesregierung, der Datenschutzbehörde 40 Prozent der Stellen zu streichen. Keber kritisiert dieses Vorhaben deutlich. Es passe nicht zusammen, dass der Staat und auch das Bundesland gleichzeitig polizeiliche Überwachungsbefugnisse und den Einsatz von Künstlicher Intelligenz massiv ausbaue, die Kontrollinstanzen im Gegenzug aber derart schwächen wolle.

Zusätzlich belaste eine enorme Beschwerdeflut die Behörde. Die Zahl der Eingaben stieg zuletzt um fast 90 Prozent auf über 7600 Fälle an. Keber führt dies vor allem auf KI-generierte Texte zurück. Da die Behörde jede Beschwerde zwingend bearbeiten muss, binde dies wertvolle Ressourcen, die an anderer Stelle – etwa bei der wichtigen Beratung von Unternehmen – schmerzlich fehlen.

Als Gegenentwurf zu Zentralisierungsbestrebungen haben die Landesdatenschutzbehörden auf der 111. Datenschutzkonferenz in Stuttgart einstimmig "Stuttgarter Impulse" verabschiedet. Die Bundesbeauftragte war nicht an Bord, weil sie hier andere Interessen verfolgt. Die Vorschläge reichen von einer gesetzlichen Verankerung der Datenschutzkonferenz über eine professionelle Geschäftsstelle bis zu verbindlichen Mehrheitsentscheidungen.

Geplant sind außerdem ein zentrales digitales Portal für Bürgeranfragen nach dem Prinzip "No Wrong Door", eine gemeinsame Entscheidungsdatenbank und das "Einer-für-alle-Prinzip", bei dem die Prüfung einer Behörde bundesweit gilt. Auch die beliebten Kurzpapiere sollen wiederbelebt werden, wie Keber im Gespräch verriet.

Im c't-Datenschutz-Podcast geht es diesmal um ein Problem, das in Unternehmen täglich auftaucht: Personenbezogene Daten sollen gelöscht werden – stecken aber in Logs, Backups oder gesetzlich vorgeschriebenen Aufzeichnungen. Die Auflösung dieses Zielkonflikts ist ebenso herausfordernd wie praxisrelevant.

Das Recht auf Löschung ist das zentrale Betroffenenrecht in der DSGVO. In Episode 161 der Auslegungssache diskutieren heise-Justiziar Joerg Heidrich und c’t-Redakteur Sylvester Tremmel, der in dieser Folge Holger Bleich vertritt, über den Interessenkonflikt zwischen Löschaufforderungen und der Pflicht, bestimmte Daten aufzuheben. Fachkundiger Gast ist Dr. Christoph Wegener, Berater und Sachverständiger für Informationssicherheit und Datenschutz.

Das Thema der Folge führt tief in den Maschinenraum der Datenschutzpraxis: Ein Betroffener verlangt die Löschung seiner Daten. Diese Daten befinden sich aber in einem Sicherheitsprotokoll, das nach IT-Standards nicht nur unveränderbar sein soll, sondern auch über einen längeren Zeitraum aufbewahrt werden muss. Eine Norm verlangt also Löschung, die andere schützt gerade die unmodifizierte Erhaltung. Genau dieser Konflikt begegnet Unternehmen bei Webserver-Logs, Sicherheitsprotokollen, Backups, Compliance-Systemen, KI-Systemen und behördlichen Fachverfahren.

Ein Anlass für die Diskussion ist der Abschlussbericht des Europäischen Datenschutzausschusses zur koordinierten Durchsetzungsaktion 2025 zum Recht auf Löschung. 32 Aufsichtsbehörden werteten Antworten von 764 Verantwortlichen aus. Der Bericht benennt mehrere wiederkehrende Schwachstellen, darunter unklare Aufbewahrungsfristen, mangelhafte Verfahren für Löschanträge und besondere Schwierigkeiten bei Backups. Auch die Datenschutzkonferenz hebt diese Problemfelder hervor. Die Podcastfolge macht deutlich: Löschkonzepte werden künftig stärker in den Fokus der Aufsichtsbehörden rücken.

Besonders praxisrelevant sind Backups. In vielen Sicherungen lässt sich ein einzelner Datensatz technisch nicht sinnvoll entfernen, ohne die Integrität des gesamten Sicherungsbestands zu gefährden. Die Lösung kann deshalb nicht darin liegen, Sicherungen sofort physisch zu überschreiben. Entscheidend ist vielmehr, dass gelöschte Daten bei einer Wiederherstellung nicht unkontrolliert wieder in den Produktivbetrieb gelangen. Wer ein Backup zurückspielt, sollte also nachgelagerte Lösch- und Bereinigungsprozesse vorsehen.

Noch schärfer zeigt sich der Konflikt bei Logfiles. Sicherheitsprotokolle sind für Angriffserkennung, Fehlersuche und Nachvollziehbarkeit unverzichtbar. Zugleich enthalten Logs häufig personenbezogene Daten wie IP-Adressen oder sicherheitsrelevante Ereignisse. Datenschutzrechtlich sind sie deshalb nicht neutral. Sie benötigen eine Rechtsgrundlage, klare Zwecke, begrenzte Fristen und Zugriffsbeschränkungen.

Das Fazit der Folge: Der scheinbare Widerspruch zwischen Löschpflicht und Speicherzwang lässt sich nicht mit pauschalen Regeln lösen. Unternehmen müssen Aufbewahrungspflichten kartieren, Löschfristen festlegen, Zugriffe beschränken, Backups in ihre Prozesse einbeziehen und Logfiles technisch wie rechtlich sauber steuern. Das unveränderbare Backup bleibt dann nicht automatisch ein Datenschutzverstoß. Entscheidend ist, dass der Zweck begrenzt, die Verarbeitung eingeschränkt und eine Wiederverarbeitung gelöschter Daten zuverlässig verhindert wird.

In Episode 160 des c't-Datenschutz-Podcasts widmen sich Holger und Joerg gleich mehreren Themen aus der jüngsten Vergangenheit. Den Auftakt macht ein bemerkenswertes Bußgeld der niederländischen Datenschutzaufsicht: 100 Millionen Euro muss die MLU B.V. zahlen, Betreiberin der europäischen Version der Yandex-Taxi-App Yango.

Der Vorwurf lautet, das Unternehmen habe Daten von Fahrern und Fahrgästen aus Norwegen und Finnland nach Russland übermittelt, darunter Führerscheinscans, Standortdaten und Kontonummern. Die niederländische Behörde kam zu dem Schluss, dass die verwendeten EU-Standardvertragsklauseln nicht ausreichten, um die Daten vor staatlichem Zugriff in Russland zu schützen. Die Höhe der Strafe orientiert sich am weltweiten Umsatz des Mutterkonzerns Yandex von rund 12 Milliarden Euro. MLU hat bereits Widerspruch gegen den Bescheid eingelegt.

Anschließend diskutieren Holger und Joerg eine Entwicklung in Baden-Württemberg: Die neue grün-schwarze Landesregierung plant laut Koalitionsvertrag, 40 Prozent der Stellen beim Landesbeauftragten für Datenschutz und Informationsfreiheit zu streichen und begründet das mit Haushaltskonsolidierung und Verwaltungsmodernisierung. Die Diskussion um derlei Maßnahmen reiht sich in die bundesweiten Überlegungen ein, Datenschutzkompetenzen stärker beim Bund zu bündeln.

Bleich und Heidrich sehen die Entwicklung kritisch. Gerade spezialisierte Landesbehörden hätten in den vergangenen Jahren wichtige Expertise aufgebaut, etwa zu Microsoft 365 oder Informationsfreiheit. Gerade erst habe der Verbraucherzentrale Bundesverband (vzbv) in einem Positionspapier diese Ansicht bestärkt, so Bleich. Der Verband fordert unter anderem "gezielte Zuständigkeitsbündelungen für länderübergreifende Fälle" statt eine Zentralisierung der Aufsicht beim Bund.

Den Schwerpunkt der Episode bildet schließlich die Auseinandersetzung mit dem Russmedia-Urteil des Europäischen Gerichtshofs (EuGH) und einer aktuellen Bewertung dessen des Hamburger Datenschutzbeauftragten. Das Urteil verpflichtet Plattformbetreiber unter Umständen zu einer anlasslosen Vorabprüfung von Inhalten – insbesondere bei gewerblichen Anzeigen mit sensiblen Daten. Die Hamburger Behörde überträgt diese Grundsätze auch auf Social-Media-Anbieter wie Facebook, Instagram und YouTube.

Holger und Joerg kritisieren das Urteil erneut scharf: Es könne faktisch zu einer Klarnamenpflicht und zu Uploadfiltern über die Datenschutz-Hintertür führen. Holger betont, dass es außerdem das wichtige Haftungsprivileg für Plattformbetreiber aushöhlen und deshalb Chilling-Effekte sowie Overblocking befördern könnte. Damit könnte ausgerechnet das Datenschutzrecht die mühsam austarierten Regelungen des Digital Services Act aushebeln.