Auslegungssache – der c't-Datenschutz-Podcast

Seit dem 18. August gilt in der EU die E-Evidence-Verordnung (EEVO). Sie soll Ermittlungen über Ländergrenzen hinweg beschleunigen. Behörden können sich nun direkt an Diensteanbieter in anderen EU-Staaten wenden und verlangen, dass diese Daten zu Tatverdächtigen herausgeben oder sichern. Langwierige staatliche Rechtshilfe soll dadurch in vielen Fällen entfallen.

Die Regeln erfassen weit mehr als große Telekommunikations- und Internetkonzerne. Auch Hosting- und Cloud-Dienste, E-Mail-Anbieter, Domain-Verwalter, soziale Netzwerke und Betreiber von Foren können von Strafverfolgern angefragt werden. Sie müssen sich bei einem EU-Portal registrieren. Selbst Anbieter außerhalb der EU müssen mitmachen, wenn sie ihre Dienste in Europa anbieten, und eine bevollmächtigte Stelle in der EU melden.

In Episode 166 der Auslegungssache diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich die Folgen mit dem Rechtsanwalt Thomas Rickert. Er arbeitet vor allem zu Datenschutz- und IT-Themen und ist Geschäftsführer der Legal-Tech-Plattform EviGate, die Unternehmen bei der Bearbeitung solcher Anfragen unterstützt.

Besonders kritisch sehen die Gesprächspartner die knappen Fristen. Für gewöhnliche Herausgaben bleiben zehn Tage. Droht Gefahr für Leib und Leben oder für wichtige Infrastruktur, müssen Anbieter innerhalb von acht Stunden reagieren, auch nachts oder am Wochenende. Daten müssen sie auf Aufforderung unverzüglich sichern. Dafür brauchen sie laut Rickert eigentlich geschulte Beschäftigte. Im Unternehmen müssen Zuständigkeiten für solche Fälle geregelt sein, außerdem der technische Zugriff auf verschiedene Systeme.

Wer sich nicht registriert oder eine Anfrage falsch bearbeitet, riskiert hohe Bußgelder. Je nach Verstoß können bis zu 500.000 Euro fällig werden. Bei Unternehmen mit mehr als 25 Millionen Euro Jahresumsatz kann die Sanktion auf zwei Prozent des weltweiten Jahresumsatzes steigen. Der Druck könnte Anbieter dazu verleiten, Daten vorschnell herauszugeben, statt eine Anfrage sorgfältig zu prüfen.

Hinzu kommt ein grundlegendes Problem: Bei Eilanfragen müssen Anbieter wie erwähnt Daten unter Umständen schon nach acht Stunden liefern, während die zuständige Behörde im eigenen Land bis zu 96 Stunden für Einwände hat. Dann sind die Informationen längst übermittelt. Das kann Journalisten, Ärzte, Rechtsanwälte und deren Kontaktpersonen gefährden. Anbieter dürfen zwar auf mögliche Verletzungen vertraulicher Kommunikation hinweisen, die Herausgabe aber nicht ohne Weiteres verweigern.

Die Runde erkennt den Nutzen schnellerer Ermittlungen bei Terrorismus, Menschenhandel, Kindesmissbrauch oder Cyberkriminalität an. Dennoch überträgt das neue E-Evidence-System einen erheblichen Teil der Prüfung auf private Anbieter, die weder vollständige Ermittlungsakten erhalten noch ausreichend Expertise haben. Das Fazit fällt deshalb skeptisch aus: E-Evidence kann Strafverfolgung beschleunigen, schafft aber zugleich großes Missbrauchspotenzial und setzt den Schutz vertraulicher Daten unter Druck.

In Episode 165 nehmen Holger und Joerg mehrere aktuelle Entwicklungen im europäischen Datenschutz unter die Lupe. Zu Gast ist Prof. Alexander Golland, der seit August an der Hochschule Osnabrück zum Recht der Informationsgesellschaft, zum Datenschutz und zum Schutz geistigen Eigentums lehrt.

Zuerst geht es um ein Bußgeld der italienischen Datenschutzbehörde Garante gegen die US-Firma Character Technologies. Deren Chatbot-Plattform Character.AI erlaubt es Nutzern, mit virtuellen Charakteren zu kommunizieren, von Mafia-Bossen bis zu simulierten Psychotherapeuten. Die Behörde monierte intransparente Datenschutzhinweise, fehlende italienische Übersetzungen, unklare Rechtsgrundlagen und mangelhaften Jugendschutz. Mit 158.000 Euro fiel die Strafe angesichts massiver Vorwürfe und tragischer Fälle in den USA, bei denen Jugendliche nach Chatbot-Interaktionen Suizid begingen, aus Sicht der Diskutanten eher milde aus.

Ein weiteres zentrales Thema ist der transatlantische Datenverkehr. Der US Supreme Court hat entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) auch ohne schwerwiegende Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als unabhängige Behörde. Da die Handelsaufsicht eine Rolle im Data Privacy Framework (DPF) spielt, sorgte das für Aufregung.

Alexander beruhigt jedoch: Der Europäische Gerichtshof (EuGH) habe sich beim Kippen des Vorgänger-Abkommens Privacy Shield weniger an der FTC als am fehlenden Rechtsschutz gegen US-Geheimdienste gestört. Kritischer wäre es, würde auch das Privacy and Civil Liberties Oversight Board (PCLOB) als abhängig eingestuft. Unternehmen empfiehlt er dennoch, Standarddatenschutzklauseln als Fallback-Option vorzubereiten, allerdings mit aufschiebender Bedingung, um bestehende Haftungsregelungen nicht auszuhebeln.

Zwei aktuelle Entscheidungen des EuGH bringen einige Klarstellungen in Sachen DSGVO-Auslegung. Im Fall eines niedersächsischen Haustechnikbetriebs ging es um Daten aus einem privaten eBay-Konto, die möglicherweise auf unzulässigem Weg beschafft worden waren. Der EuGH schließt ihre Verwendung als Beweis nicht grundsätzlich aus. Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden dürfen und ob sie damit die Rechte der betroffenen Person zu stark verletzen.

Im zweiten Fall prüfte der EuGH eine öffentlich zugängliche Liste der österreichischen Anti-Doping-Agentur. Darin standen Namen, Sportarten, Verstöße und Sperrzeiten. Die bloße Information, dass jemand gedopt hat, gilt dem Urteil zufolge nicht automatisch als Gesundheitsinformation. Anders kann es aussehen, wenn die konkrete Substanz oder ihre Anwendung Rückschlüsse auf eine Erkrankung zulässt. Die Veröffentlichung kann zwar dem Schutz des fairen Sports dienen, muss aber angemessen bleiben und Besonderheiten einzelner Fälle berücksichtigen.

Zum Schluss fällt in der Podcast-Episode der Blick auf den geplanten "Digital-Omnibus", mit dem die EU ihre Datenschutz- und Digitalregeln vereinfachen will. Sinnvolle Vorschläge wie eine gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle treffen auf alte Konflikte um Cookies, personalisierte Werbung und Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten liegen bei zentralen Punkten auseinander. Alexander rechnet deshalb höchstens mit einem "Reförmchen", vorausgesetzt, die Verhandler Rat, Parlament und Kommission klammern die besonders umstrittenen Cookie-Regeln aus.

Seit 2006 gilt in Deutschland ein damals für revolutionär gehaltenes Prinzip: Jeder Mensch darf beim Staat Informationen anfordern, ohne dafür einen bestimmten Grund nennen zu müssen. Das Informationsfreiheitsgesetz (IFG) drehte die alte Logik des Amtsgeheimnisses um. Nun plant die schwarz-rote Koalition, dieses Recht drastisch einzuschränken. In Episode 164 des c't-Datenschutz-Podcasts diskutieren Holger und Joerg mit einem der prominentesten Kämpfer für Transparenz, was die Pläne bedeuten würden.

Zu Gast ist Arne Semsrott, Projektleiter der Plattform "FragDenStaat" bei der Open Knowledge Foundation. Über das Portal wurden in 15 Jahren mehr als 330.000 Anfragen an Behörden gestellt und die Antworten unter Wahrung des Datenschutzes veröffentlicht. Skandale wie die Maskenaffäre von Jens Spahn oder Ungerimtheiten rund um die Plagiatsaffäre von Franziska Giffey kamen erst durch solche Anfragen ans Licht. Arne erinnert daran, dass das erste Informationsfreiheitsgesetz der Welt bereits 1766 in Schweden entstand und heute weltweit fast alle Staaten ein solches Recht kennen - in Europa fehlt es nur in Belarus.

Genau dieses Recht steht nun zur Disposition. Die Koalition will den Kreis der Anspruchsberechtigten stark einschränken: Nur noch natürliche Personen mit einem "berechtigten Interesse" sollen Anfragen stellen dürfen, beschränkt auf in Deutschland lebende Deutsche und Unionsbürger. Damit fielen Organisationen wie FragDenStaat oder Verlage heraus. Auch Journalisten wären betroffen, wenn sie auf andere Auskunftsansprüche verwiesen werden. Arne, Holger und Joerg zeigen im Gespräch auf, dass das voraussetzungslose Recht auf Information damit ausgehöhlt würde. Wer sein Interesse offenlegen müsste, gefährdete als Journalist bereits seine Recherche.

Hinzu kommen weitere geplante Einschränkungen: mehr Ausnahmetatbestände etwa mit Verweis auf Sicherheit und kritische Infrastruktur, das Schwärzen sämtlicher Mitarbeiternamen und die Abschaffung des Gebührendeckels von derzeit 500 Euro. Arne betont, dass für die vorgebrachten Begründungen jeder Beleg fehlt: Weder gebe es dokumentierte Fälle bedrohter Beamter noch Missbrauch durch ausländische Anfragen. Er vermutet, dass sich die Verantwortlichen schlicht eines lästigen Kontrollinstruments entledigen wollen. Als besonders brisant nennt er interne Pläne des Innenministeriums, der beziehungsweise bald dem Bundesdatenschutzbeauftragten die Zuständigkeit für Informationsfreiheit ganz zu entziehen.

Trotz der ernüchternden Analyse endet die Episode kämpferisch. Holger und Joerg legen offen, dass sie eine Petition gegen die De-Facto-Beschneidung des IFG unterzeichnet haben. Diese Petition gegen die Pläne hat bereits rund 600.000 Unterschriften gesammelt und sorgt vor allem innerhalb der SPD für Unruhe. Arne ruft dazu auf, Abgeordnete freundlich, aber bestimmt anzusprechen, und sieht durchaus Chancen, das Vorhaben zu stoppen. Sein Fazit: Hier drohe ein Frontalangriff auf die Bürgerrechte. Und das gerade in Zeiten, in denen autoritäre Kräfte erstarken.

Wer im Gesundheitswesen für Datenschutz zuständig ist, arbeitet dauerhaft mit den heikelsten Informationen überhaupt: den "besonderen Kategorien personenbezogener Daten" nach Art. 9 der DSGVO. In Episode 163 spricht Gästin Daniela Will darüber, wie sie diese Aufgabe bewältigt. Sie leitet die Stabsstelle Datenschutz der Münchnen Klinik gGmbH, einem der größten kommunalen Klinikverbünde Deutschlands mit fünf Häusern und rund 8000 Beschäftigten. Ihr Credo: konsequent risikoorientiert arbeiten, "first things first".

Bevor es ans Kernthema geht, nehmen sich Holger, Joerg und Daniela die aktuellen Reformpläne der Bundesregierung vor. Kleine und mittlere Unternehmen sowie Vereine sollen nach dem Willen der Regierung deutlich weniger Datenschutzpflichten erfüllen müssen. Auch die Pflicht zu betrieblichen Datenschutzbeauftragten soll in vielen Fällen fallen. Daniela hält das für den falschen Weg. Das eigentliche Problem kleiner Unternehmen liege oft nicht im Datenschutz selbst, sondern in ihrer schwachen Position gegenüber großen IT-Anbietern wie Microsoft, SAP oder Workday. Hier brauche es klare Regeln für die Anbieter, nicht weniger Schutz für Betroffene.

Scharf kritisiert die Runde auch Pläne, das Informationsfreiheitsrecht im Bund einzuschränken. Anfragen an Behörden könnten künftig nur noch natürlichen Personen mit besonderem Interesse offenstehen. Vereine, NGOs und möglicherweise auch Medien würden wohl vom Recht ausgeschlossen. Zudem könnten die bislang gedeckelten Kosten für Anfragen exorbitant steigen. Holger, Joerg und Daniela sehen darin ein fatales Signal: Gerade in Zeiten sinkenden Vertrauens in Politik und Verwaltung müsse der Staat transparenter werden, nicht verschlossener.

Das Bußgeld der Woche kommt aus Frankreich: Fünf Millionen Euro musste ein Marktforschungsunternehmen zahlen, das Daten aus 14.000 Apotheken als "anonym" ausgab, obwohl Geburtsjahr, Geschlecht, Diagnose und Symptome eine Reidentifizierung leicht ermöglichten. Für die Runde ein Musterbeispiel dafür, wie fahrlässig mit dem Unterschied zwischen Pseudonymität und Anonymität umgegangen wird.

Im Hauptteil geht es um den Umgang mit Artikel-9-Daten. Daniela schildert für Joerg überraschend Pragmatisches: Im Klinikalltag reicht ihr Art. 9 Abs. 2 als Rechtsgrundlage für fast alle Behandlungen aus, kombiniert mit dem Behandlungsvertrag. Einwilligungen braucht sie nur in wenigen Fällen, etwa bei der Weitergabe an Hausärzte oder für Forschungsstudien.

Als Segen bezeichnet sie das neue Gesundheitsdatennutzungsgesetz, das die interne Auswertung vorhandener Daten zur Qualitäts- und Patientensicherheit erleichtere. Beim europäischen Gesundheitsdatenraum (EHDS) und der elektronischen Patientenakte (ePa) hake es dagegen weiter: Daten werden bislang meist nur als unstrukturierte Dokumente übergeben, echte Interoperabilität ist noch Zukunftsmusik.

Besonders anspruchsvoll sind Auskunftsbegehren zu medizinischen Daten. Daniela muss jede Anfrage inhaltlich prüfen, damit etwa frische, schwerwiegende Diagnosen nicht ungefiltert herausgehen, sondern zuerst ärztlich begleitet werden. Heikel wird es bei Minderjährigen und in Sorgerechtsstreitigkeiten, wo Auskunftsrechte oft als Kontrollinstrument missbraucht werden. Danielas Fazit: Datenschutz in der Klinik funktioniert nur mit Augenmaß, Erfahrung und enger Zusammenarbeit zwischen Medizin, IT und Verwaltung.

In Episode 162 des c't-Datenschutz-Podcasts diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich mit Tobias Keber, dem Landesbeauftragten für den Datenschutz und Informationsfreiheit (LfDI) in Baden-Württemberg und aktuellen Vorsitzenden der Datenschutzkonferenz (DSK).

Zum Einstieg sprechen die drei über ein Bußgeld von 100.000 Euro gegen eine kroatische Immobilienagentur. Neben unzulässig lange gespeicherten Unterlagen beanstandete die Behörde unzureichende Datenschutzschulungen. Keber betont, dass Datenschutz nur wirksam sei, wenn Beschäftigte praxisnah und regelmäßig geschult würden. Ein reines "Wegklicken" von Online-Folien reiche nicht aus.

Zentrales Thema des Gesprächs ist der Schock über die Pläne der neuen baden-württembergischen Landesregierung, der Datenschutzbehörde 40 Prozent der Stellen zu streichen. Keber kritisiert dieses Vorhaben deutlich. Es passe nicht zusammen, dass der Staat und auch das Bundesland gleichzeitig polizeiliche Überwachungsbefugnisse und den Einsatz von Künstlicher Intelligenz massiv ausbaue, die Kontrollinstanzen im Gegenzug aber derart schwächen wolle.

Zusätzlich belaste eine enorme Beschwerdeflut die Behörde. Die Zahl der Eingaben stieg zuletzt um fast 90 Prozent auf über 7600 Fälle an. Keber führt dies vor allem auf KI-generierte Texte zurück. Da die Behörde jede Beschwerde zwingend bearbeiten muss, binde dies wertvolle Ressourcen, die an anderer Stelle – etwa bei der wichtigen Beratung von Unternehmen – schmerzlich fehlen.

Als Gegenentwurf zu Zentralisierungsbestrebungen haben die Landesdatenschutzbehörden auf der 111. Datenschutzkonferenz in Stuttgart einstimmig "Stuttgarter Impulse" verabschiedet. Die Bundesbeauftragte war nicht an Bord, weil sie hier andere Interessen verfolgt. Die Vorschläge reichen von einer gesetzlichen Verankerung der Datenschutzkonferenz über eine professionelle Geschäftsstelle bis zu verbindlichen Mehrheitsentscheidungen.

Geplant sind außerdem ein zentrales digitales Portal für Bürgeranfragen nach dem Prinzip "No Wrong Door", eine gemeinsame Entscheidungsdatenbank und das "Einer-für-alle-Prinzip", bei dem die Prüfung einer Behörde bundesweit gilt. Auch die beliebten Kurzpapiere sollen wiederbelebt werden, wie Keber im Gespräch verriet.