Auslegungssache – Der C't-Datenschutz- podcast

#Business #Bildung #c't Magazin #Datenschutz #Sicherheit #Jura #Recht #Technologie #Juristen

44:09

When a young Eva Kollisch arrives as a refugee in New York in 1940, she finds a community among socialists who share her values and idealism. She soon discovers ‘the cause’ isn’t as idyllic as it seems. Little does she know this is the beginning of a lifelong commitment to activism and her determination to create radical change in ways that include belonging, love and one's full self. In addition to Eva Kollisch’s memoirs Girl in Movement (2000) and The Ground Under My Feet (2014), LBI’s collections include an oral history interview with Eva conducted in 2014 and the papers of Eva’s mother, poet Margarete Kolllisch, which document Eva’s childhood experience on the Kindertransport. Learn more at www.lbi.org/kollisch . Exile is a production of the Leo Baeck Institute , New York | Berlin and Antica Productions . It’s narrated by Mandy Patinkin. Executive Producers include Katrina Onstad, Stuart Coxe, and Bernie Blum. Senior Producer is Debbie Pacheco. Associate Producers are Hailey Choi and Emily Morantz. Research and translation by Isabella Kempf. Sound design and audio mix by Philip Wilson, with help from Cameron McIver. Theme music by Oliver Wickham. Voice acting by Natalia Bushnik. Special thanks to the Kollisch family for the use of Eva’s two memoirs, “Girl in Movement” and “The Ground Under My Feet”, the Sophia Smith Collection at Smith College and their “Voices of Feminism Oral History Project”, and Soundtrack New York.…

Auslegungssache – der c't-Datenschutz-Podcast

Μοίρασέ το

Αρχική οθόνη σειράς•Feed

Sie möchten beim Thema Datenschutz auf dem Laufenden bleiben, aber keine seitenlange Literatur wälzen? Dann wenden Sie sich vertrauensvoll an unser Juristen-Redakteurs-Duo. Alle 14 Tage bespricht c't-Redakteur Holger Bleich mit Joerg Heidrich aktuelle Entwicklungen rund um den Datenschutz. Joerg ist beim c't-Mutterschiff Heise Medien als Justiziar für das Thema zuständig und hat täglich mit der europäischen Datenschutz-Grundverordnung (DSGVO) zu tun. Wechselnde Gäste ergänzen das Duo. Mehr Infos gibts unter https://heise.de/-4571821

129 επεισόδια

Auslegungssache – der c't-Datenschutz-Podcast

22 subscribers

updated πριν 12 μέρες

Μοίρασέ το

Αρχική οθόνη σειράς•Feed

129 επεισόδια

#Business #Bildung #c't Magazin #Datenschutz #Sicherheit #Jura #Recht #Technologie #Juristen

Όλα τα επεισόδια

Auslegungssache – der c't-Datenschutz-Podcast

1
Scherbenhaufen Beschäftigtendatenschutz 1:06:28

πριν 12 μέρες1:06:28

1:06:28

Mit Dr. Marc Störing, Holger Bleich und Joerg Heidrich Der Beschäftigtendatenschutz in Deutschland kommt nicht voran. Eigentlich sieht eine Öffnungsklausel in der DSGVO vor, dass die EU-Mitgliedsstaaten diesbezüglich mit nationalen Gesetzen das Recht ausgestalten dürfen. In Deutschland existiert aber bis dato nur der unspezifische Paragraf 26 BDSG und einige gleichlautende Vorschriften in Landesdatenschutzgesetzen. Seit mehr als zehn Jahren ist vorgesehen, ein eigenes Beschäftigtendatenschutzgesetz zu entwickeln. Auch die Ampelkoalition hatte sich ein solches in ihr Pflichtenheft für die Legislaturperiode geschrieben. Im Oktober 2024 legte sie schließlich einen Referentenentwurf vor. Dieser sah unter anderem klare Regeln zur Einwilligung von Arbeitnehmern, Überwachungsmaßnahmen durch den Arbeitgeber und Löschfristen für Beschäftigtendaten vor. Doch mit dem Scheitern der Ampel Anfang November wanderte dieser Entwurf direkt in die Tonne. Im c't-Datenschutz-Podcast diskutieren Joerg und Holger mit Rechtsanwalt Dr. Marc Störing die aktuelle Lage. Marc berät für die Kanzlei Osborne Clarke Unternehmen und Konzerne datenschutzrechtlich. In der Episode erläutert er fachkundig die Situation des europäischen Beschäftigtendatenschutzes und ordnet zwei wichtige Urteile des Europäischen Gerichtshofs (EuGH) aus den Jahren 2023 und 2024 dazu ein. Die Diskutanten sind sich einig, dass wenig Hoffnung auf eine baldige gesetzliche Regelung besteht. Ein Blick auf die Programme der Parteien zur Bundestagswahl zeigt, dass sich nur die SPD klar für ein Beschäftigtendatenschutzgesetz ausspricht. Angesichts der aktuellen Lage sei unwahrscheinlich, dass das Thema in einem möglichen Koalitionsvertrag eine Rolle spielen wird. Für Unternehmen und Beschäftigte bedeutet dies weiter ein hohes Maß an Rechtsunsicherheit. Viele praktische Fragen, etwa zur privaten Nutzung von Firmen-Mailkonten oder der Überwachung am Arbeitsplatz, bleiben in einer Grauzone. Marc, Joerg und Holger hoffen, dass die Politik das Thema Beschäftigtendatenschutz nicht auf die lange Bank schiebt. Nur ein detailliertes Gesetz könne für mehr Rechtssicherheit sorgen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Zum Umgang mit Datenlecks 1:09:59

πριν 26 μέρες1:09:59

1:09:59

Mit Marie-Claire Koch, Ronald Eikenberg, Dr. Christopher Kunz und Joerg Heidrich Vorab: Melden Sie datenschutzrelevante Informationen gerne anonym an unser Investigativteam: heise-Hinweisgeber-System Kaum eine Woche vergeht auf heise online ohne Meldungen über neue Datenlecks. Zuletzt traf es einen großen Verbund von Rehakliniken, bei dem hochsensible Patientendaten offen im Netz einsehbar waren. Durch einen Hinweisgeber wurde aufgedeckt, dass Termindaten und sogar Befunddaten unverschlüsselt übertragen wurden und über das Internet abrufbar waren. Im aktuellen c't-Datenschutz-Podcast berichten die Newsroom-Redakteurin Marie-Claire Koch und c't-Redakteur Ronald Eikenberg davon, wie sie von dem Problem erfahren haben und was genau passiert ist. heisec-Redakteur Christopher Kunz kann überdies brandaktuelle Informationen zu zum Datenleak bei einem sogenannten Legaltech-Unternehmen beisteuern, auf das ihn ein Sicherheitsforscher vom Chaos Computer Club (CCC) hingewiesen hat. Wegen unzureichend gesicherter Webservices standen massenhaft Mandanteninformationen nahezu offen für jeden im Internet zum Abruf bereit. Zusammen mit heise-Justiziar Joerg Heidrich diskutiert die Runde, wie Unternehmen solchen Vorfällen vorbeugen können und wie sie sich verhalten sollten, wenn es dennoch dazu kommt. Wann besteht die Pflicht, Vorfälle umgehend bei der zuständigen Datenschutzbehörde zu melden? Wie sollte man sich gegenüber Mitarbeitern und Kunden verhalten, derden Daten eventuell in fremde Hände geraten sind? Nach Christophers Meinung ist es erschreckend, dass Patientendaten aufgrund grober Fehler wie fehlender Verschlüsselung und falscher Serverkonfiguration frei zugänglich waren. "Es geht hier um grundlegende Sicherheitsmaßnahmen, die im Jahr 2025 eigentlich selbstverständlich sein sollten", kritisiert er. Doch stattdessen würden immer wieder die gleichen Anfängerfehler gemacht. Auch die Kommunikation der betroffenen Unternehmen lasse oft zu wünschen übrig. Standardformulierungen wie "kein Hinweis auf Datenabflüsse" seien wenig vertrauenserweckend. Zudem würden Datenschutzbehörden und Kunden häufig gar nicht oder nur zögerlich informiert. Hier fordern die Experten unisono deutlich mehr Transparenz. Für Ronald liegt die Wurzel des Problems im mangelnden Risikobewusstsein: "Datenschutz muss als ernstes unternehmerisches Risiko wahrgenommen werden, genauso wie Arbeitsunfälle oder Produkthaftung." Nötig seien regelmäßige Sicherheitsaudits und die Einbindung externer Experten, um Lücken frühzeitig zu erkennen und zu schließen. Unternehmen sollten zudem offener mit Sicherheitsforschern zusammenarbeiten, die Schwachstellen aufdecken. Christopher rät Firmen, lieber einmal mehr als zu wenig zu melden, um sich nicht dem Vorwurf der Vertuschung auszusetzen. Auch Betroffene wünschten sich sicherlich mehr Informationen darüber, ob und wie ihre Daten in falsche Hände geraten sind. Insgesamt zeigt die Diskussion: Beim Schutz sensibler Daten gibt es noch viel Luft nach oben. Unternehmen müssen ihrer Verantwortung besser gerecht werden - im Interesse ihrer Kunden und auch zu ihrem eigenen Schutz. Denn Datenpannen führen mitunter nicht nur zu saftigen Bußgeldern, sondern können auch immense Imageschäden nach sich ziehen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Gute Auskunft, schlechte Auskunft 1:11:47

πριν 6 weeks1:11:47

1:11:47

Mit Bettina Blawert, Holger Bleich und Joerg Heidrich Das in Artikel 15 DSGVO festgeschriebene Auskunftsrecht ist eines der zentralen Betroffenenrechte. Es gilt als ein wichtiges Instrument zur Kontrolle der eigenen Daten, an das sich Rechte zur Korrektur und Löschung von Daten anschließen. Per E-Mail lässt sich bei Unternehmen und Behörden erfragen, welche Daten zu welchem Zweck gespeichert sind, und woher sie stammen. Doch was auf den ersten Blick einfach klingt, wirft in der Praxis viele Fragen auf, wie die Diskussion im aktuellen c't-Datenschutz-Podcast zeigt. Zu Gast ist Bettina Blavert, Syndikusrechtsanwältin und Datenschutzexpertin bei der Sovendus GmbH. Sie sieht das Auskunftsrecht sehr positiv, auch wenn es Unternehmen einiges abverlangt. "Für Betroffene ist es Datenschutz zum Anfassen", sagt sie. Holger und Joerg stimmen zu, weisen allerdings auf Schwierigkeiten bei der Umsetzung des Rechts hin. So müssen Unternehmen Betroffene zunächst einmal eindeutig identifizieren, bevor sie Daten herausgeben, und das, ohne dabei selbst wieder zu viele Daten abzufragen. Außerdem sei die Frist von einem Monat durchaus knapp, wenn umfangreiche oder komplexe Datensätze zusammengestellt werden müssen. Auch inhaltlich gibt es Fallstricke: Müssen komplexe Datenstrukturen in Klartext übersetzt werden? Wie sieht es mit Daten aus, die zwar einen Personenbezug haben, aber zum Beispiel pseudonymisiert gespeichert sind? Und: Dürfen Geschäftsgeheimnisse oder Rechte Dritter einer Auskunft entgegenstehen? Die drei Diskutanten liefern Details aus der Praxis und stellen klar: Das Auskunftsrecht ist ein mächtiges Instrument für Betroffene, aber eben kein Selbstläufer. Unternehmen müssen ihre Prozesse genau prüfen und anpassen, um nicht in Schwierigkeiten zu geraten. Betroffene sollten wiederum genau überlegen, was sie mit einer Anfrage bezwecken wollen. Denn bei aller Auskunftsfreude: Wer es übertreibt, dem kann am Ende sogar der Missbrauch dieses Rechts vorgeworfen werden.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenmissbrauch gestern und heute 1:08:53

πριν 10 weeks1:08:53

1:08:53

Mit Markus Sailer, Holger Bleich und Joerg Heidrich Die Macht von Daten wird oft erst dann sichtbar, wenn sie missbraucht wird. In Episode 125 des c't-Datenschutz-Podcasts werfen Holger, Joerg und der Datenschutzbeauftragte Markus Sailer einen Blick zurück auf historische Beispiele, in denen Staaten ihre Datensammlungen zur gezielten Verfolgung von Bevölkerungsgruppen genutzt haben. Ein besonders bekanntes Beispiel ist die Volkszählung von 1939 im nationalsozialistischen Deutschland. Mit Hilfe von Lochkarten und Hollerith-Tabelliermaschinen erfassten die Nazis damals die Religionszugehörigkeit der Bürger. In Ergänzungskarten wurden "Mischlinge" "Volljuden", "Geltungsjuden" und "Glaubensjuden" gemäß der Nürnberger Rassengesetze von 1935 systematisch erfasst. Die Daten bildeten später die Grundlage für die Deportation von Juden in Konzentrationslager. In anderen Staaten wie den Niederlanden fielen solche Datensammlungen den deutschen Besatzern in die Hände und wurden für Verfolgungsmaßnahmen missbraucht. Ein weiteres Beispiel ist die systematische Erfassung von Homosexuellen durch die Gestapo ab 1934. Auf Basis von polizeilichen "Rosa Listen" wurden zehntausende Männer in Karteien erfasst, überwacht und verfolgt. Insgesamt 50.000 Verurteilungen erfolgten nach dem berüchtigten Paragraphen 175, der in der Bundesrepublik erst 1994 endgültig abgeschafft wurde. Die Gesprächspartner sind sich einig: Auch wenn sich die Methoden geändert haben, besteht die Gefahr des Datenmissbrauchs durch staatliche Stellen weiterhin. Rasterfahndung, die wieder in Deutschland diskutierte Vorratsdatenspeicherung oder der "Cloud Act" in den USA sind aktuelle Beispiele für weitreichende Zugriffsbefugnisse. Zwar setzt die europäische Datenschutz-Grundverordnung (DSGVO) hier wichtige Grenzen. Doch die Diskutanten bezweifeln, ob sie ausreicht, um die Demokratie langfristig zu schützen. Ihr Wunsch an die Politik ist daher ein stärkeres Bewusstsein für die Missbrauchsgefahren von Datensammlungen. Statt Datenschutz vor allem als Hindernis zu sehen, sollte er auch als Schutzschild der freiheitlichen Gesellschaft begriffen werden. Denn historische Erfahrungen mahnen zur Wachsamkeit - in Zeiten von Big Data und Künstlicher Intelligenz mehr denn je.…

Auslegungssache – der c't-Datenschutz-Podcast

1
100 € pro Kontrollverlust? 1:17:37

πριν 12 weeks1:17:37

1:17:37

Mit Dr. Lea Stegemann, Holger Bleich und Joerg Heidrich BGH-Urteil vom 18. November 2024 (VI ZR 10/24, PDF) Infos zur vzbv-Sammelklage gegen Meta im Scraping-Fall Lange erwartet, nun viel diskutiert: Das Urteil des Bundesgerichtshofs (BGH) zum Schadensersatzanspruch aus Art. 82 der Datenschutz-Grundverordnung (DSGVO) beschäftigt nicht nur Juristen. Der BGH hatte sich mit der Frage beschäftigt, ob schon der bloße Kontrollverlust über eigene Daten einen immateriellen Schaden begründen kann. Anlass war ein Datenleak bei Facebook im Jahr 2019, bei dem Kriminelle über eine zu weit offene Schnittstelle an Nutzerdaten wie Namen, Telefonnummern und Adressen von über 500 Millionen Nutzern gelangten, darunter mutmaßlich sechs Millionen Deutsche. Der BGH hatte sich ein Berufungsurteil des Oberlandesgerichts Köln herausgepickt und die Revision zum sogenannten Leitentscheidungsverfahren erklärt. Diese Möglichkeit hat das oberste deutsche Gericht, seit am 31. Oktober das Leitentscheidungsgesetz in Kraft getreten ist: In Fällen, die grundlegende Rechtsfragen betreffen, soll eine Leitentscheidung des BGH als Richtschnur für niedere Instanzen in ähnlichen Fällen dienen. In seinem Urteil (Az. VI ZR 10/24) hat der BGH am 18. November die Hürden für immaterielle Schadensersatzansprüche nach Art. 82 DSGVO sehr niedrig gesetzt. Entgegen der Auffassung von Meta könne "auch der bloße und kurzzeitige Verlust der Kontrolle über eigene personenbezogene Daten infolge eines Verstoßes gegen die DSGVO ein immaterieller Schaden im Sinne der Norm sein". Demnach müssen Betroffene nicht nachweisen, dass ihre Daten missbräuchlich verwendet worden seien. Auch Belege für Angst und Sorge vor einem Missbrauch sind dem Urteil zufolge nicht erforderlich. Besonders spannend: Nicht nur mündlich während der Urteilsverkündung, sondern auch in seiner schriftlichen Urteilbegründung gab der BGH den Instanzgerichten konkrete Hinweise zur Höhe der finanziellen Entschädigung für den erlittenen "Kontrollverlust". Für den konkreten Fall, bei dem keine Schäden nachgewiesen wurden, schlug er eine "Größenordnung von 100 Euro" vor. Falls der ein Fall gravierender ist, kann der Betrag laut BGH allerdings auch wesentlich höher sein. Im c't-Datenschutz-Podcast erläutert Dr. Lea Stegemann, Rechtsanwältin und Expertin für Schadensersatzansprüche aus DSGVO-Verstößen heraus, die Hintergründe und Auswirkungen des BGH-Urteils. Lea sieht in dem Urteil einerseits einen wichtigen Schritt für den Persönlichkeitsschutz der Betroffenen. Andererseits warnt sie vor Risiken für Unternehmen, wenn nun zusätzlich zu möglichen DSGVO-Bußgeldern noch Schadensersatzforderungen in Millionenhöhe kommen. Unklar bleibt fürs Erste, wie sich das Urteil auf die Praxis der Legal-Tech-Kanzleien auswirkt, die Betroffene zu Massenklagen animieren. Der Verbraucherzentrale Bundesverband (vzbv) hat jüngst eine Musterfeststellungsklage gegen den Facebook-Mutterkonzern Meta beim Hanseatischen Oberlandesgericht Hamburg eingereicht, der sich jeder Betroffene bald kostenlos anschließen kann. Lea sieht darin Chance, Ansprüche gesammelt anzumelden, ohne in dem einzelnen Fall ein Gerichtsverfahren und eine Beweisaufnahme durchführen zu müssen. Sie plädiert ohnehin für eine Pauschalierung und Bündelung von massenhaft vorhandenen, ähnlich gelagerten Schadensersatzansprüchen, um die Justiz zu entlasten. Der Gesetzgeber könne dafür die Rahmenbedingungen schaffen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Neue Dimensionen der Mitarbeiterüberwachung 1:17:16

πριν 14 weeks1:17:16

1:17:16

Mit Anna Cardillo, Holger Bleich und Joerg Heidrich Wolfie Christl: Employees as Risks - A case study on intrusive surveillance and behavioral profiling for cybersecurity, insider risk detection and "compliance", Cracked Labs, August 2024 Eine bislang wenig beachtete Studie des österreichischen Forschers und Aktivisten Wolfie Christl aus August 2024 brachte es an den Tag: Microsoft bietet Unternehmen, die Microsoft 365 Enterprise nutzen, weitreichende Möglichkeiten, das Verhalten ihrer Mitarbeiter zu überwachen und zu analysieren. Es geht um zubuchbare Produkte zum "Sicherheitsinformations- und Ereignis-Management" (SIEM) und zu "User and Entity Behavior Analytics" (UEBA). Mit den Zusatzprodukten "Sentinel" und "Purview" können sich Arbeitgeber von Microsoft aufzeigen lassen, welche Mitarbeiter ein Sicherheitsrisiko darstellen könnten, etwa aufgrund "anstößiger" Chats oder häufigen Abrufen bestimmter Webseiten. Dabei werden riesige Mengen sensibler Mitarbeiterdaten verarbeitet und verknüpft, beispielsweise aus Teams und Sharepoint. Christl zeigt auf, wie Microsoft dafür intensiv KI einsetzt und Unternehmen ermutigt, detaillierte Profile ihrer Mitarbeiter zu erstellen, um "Risikofaktoren" und "Anomalien" zu erkennen. Im c't-Datenschutz-Podcast diskutieren Holger und Joerg die ethischen und rechtlichen Implikationen. Rechtsanwältin Anna Cardillo steht ihnen dabei mit ihrer Expertise zur Seite. Anna berät seit 2006 Unternehmen und Behörden im Datenschutz- und Informationssicherheitsrecht. Sie hat sich auf die Unterstützung bei der Implementierung und datenschtuzrechtlich sauberer Umsetzung digitaler Prozesse spezialisiert. Anna äußert erhebliche Zweifel an der Rechtmäßigkeit der Überwachungspraktiken, die Microsoft und andere von Christl untersuchte Unternehmen anbieten. Es fehle oft schlicht an Wissen und damit der an der nötigen Transparenz, austarierten Risikoabwägungen sowie einer Rechtsgrundlage für derart weitreichende Datenauswertungen. Das Fazit: Auch wenn Unternehmen ein berechtigtes Interesse an der IT-Sicherheit haben, sind viele der von Microsoft angepriesenen Überwachungsmaßnahmen unverhältnismäßig und könnten hierzulande unzulässig sein. Betroffene Mitarbeiter sollten sich nicht scheuen, die Praktiken kritisch zu hinterfragen und sich im Zweifelsfall beispielsweise an den Betriebsrat oder eine Hinweisgeberstelle zu wenden.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Zur Lage der Bürgerrechte 1:08:19

πριν 16 weeks1:08:19

1:08:19

Mit Dr Ulf Buermeyer, Holger Bleich und Joerg Heidrich Nun hat es auch einmal den c't-Datenschutz-Podcast erwischt: Manchmal ändert sich die Nachrichtensituation von einen Tag auf den anderen gravierend, so geschehen am 6. November. Kaum war die aktuelle Folge im Kasten, löste sich die Ampelkoalition auf. Einige Gesetzesprojekte, über die es in der Episode gesprochen wird, dürften damit vorerst gestoppt sein. Dennoch halten wir die Episode 122 der Auslegungssache für sehr hörenswert, beleuchtet sie doch die Lage der Bürgerrechte in Deutschland sowie Bestrebungen der nun ehemaligen Bundesregierung, grundrechtsgefährdende Projekte auf die Schiene zu bringen. Im Mittelpunkt steht das Sicherheitspaket, das eventuell mit Hilfe der Unionsparteien trotz Ampel-Aus noch vor der Bundestagswahl realisiert werden könnte. Holger und Joerg sprechen darüber mit Dr. Ulf Buermeyer, Jurist, Mitgründer der Gesellschaft für Freiheitsrechte und Co-Host des Podcasts "Lage der Nation". Das in Reaktion auf den Messerangriff von Solingen hastig zusammengestellte Paket passierte Mitte Oktober zunächst den Bundestag, scheiterte dann aber vorerst im Bundesrat am Widerstand der Union. Diese fordert noch schärfere Maßnahmen wie eine Ausweitung der Befugnisse für Verfassungsschutz und Polizei. Besonders umstritten ist die Einführung einer Datenbank zur biometrischen Gesichtserkennung beim BKA. Ulf bezweifelt, dass eine solche Datenbank verfassungsrechtlich Bestand hätte. Er sieht darin einen massiven Eingriff in die Grundrechte. Ebenfalls diskutiert wurde in der Ampelregierung ein neuer Anlauf zur Vorratsdatenspeicherung von IP-Adressen. Hier sehen sich Befürworter wie Innenministerin Nancy Faeser durch ein EuGH-Urteil von April 2024 bestätigt. Die FDP setzte dem das Modell "Quick Freeze" entgegen, bei dem Verbindungsdaten erst bei einem konkreten Verdacht "eingefroren" und dann für Ermittlungen freigegeben werden. Ulf plädiert dafür, diesen Ansatz zumindest zu erproben und wissenschaftlich zu evaluieren. Insgesamt wünscht er sich eine Versachlichung der oft emotional geführten Debatte um innere Sicherheit und Migration. Sowohl Quick Freeze als auch die Vorratsdatenspeicherung dürften nun nach dem Ampel-Aus vorerst in den Schubladen verschwinden.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz unter Druck 57:35

πριν 18 weeks57:35

57:35

Mit Holger Bleich und Falk Steiner Hier sind die Anhörungen der designierten EU-KommissarInnen im EU-Parlament zu finden Die wirtschaftliche Lage in Deutschland und Europa setzt die Politik unter Druck, aber auch den Datenschutz. Das wurde zuletzt beim Digitalgipfel der Bundesregierung in Frankfurt deutlich. Bundeswirtschaftsminister Robert Habeck stellte dort die föderale Struktur der Datenschutzaufsicht in Frage. 16 Landesdatenschutzbehörden plus zwei in Bayern seien "ein bisschen viele". Er schlug vor, den Behörden thematische statt regionale Zuständigkeiten zuzuweisen. In der aktuelle Episode des c't-Datenschutz-Podcasts erörtert Holger zusammen mit dem freien Journalisten Falk Steiner die digitalpolitische Großwetterlage in Deutschland und Europa. Falk schildert die Stimmung auf dem Digitalgipfel. Ein Tenor war demzufolge, dass Deutschland als Wirtschafts- und KI-Standort hinterherhinkt. Datenschutz werde zunehmend als Bremsklotz der Digitalisierung dargestellt. Auch auf EU-Ebene deutet sich nach Falks Meinung ein Kurswechsel an. Die designierte neue EU-Kommission unter Ursula von der Leyen werde stark auf Wirtschaftswachstum und Bürokratieabbau setzen. Datenschütz dürfte mehr in den Hintergrund treten. Die für Digitales zuständige künftige Exekutiv-Vizepräsidentin Henna Virkkunen soll ein EU-Cloud- und KI-Entwicklungsgesetz vorantreiben. Eine Reform der Datenschutz-Grundverordnung (DSGVO) steht dagegen nicht auf ihrer Agenda. Die neue EU-Kommission werde insgesamt konservativer ausgerichtet sein als die bisherige. Prägende Figuren der Digitalpolitik wie Margrethe Vestager und Thierry Breton schieden aus. Zudem haben sich die Mehrheitsverhältnisse im EU-Parlament nach rechts verschoben. Das könnte Falk zufolge neue Regulierungen erschweren, aber auch bürgerrechtskritische Vorhaben wie die Vorratsdatenspeicherung bremsen, die der designierte Innenkommissar Magnus Brunner wieder aufgreifen soll.…

Auslegungssache – der c't-Datenschutz-Podcast

1
(Kein) Datenschutz in Strafverfahren 1:10:05

πριν 20 weeks1:10:05

1:10:05

Mit Jens Ferner, Holger Bleich und Joerg Heidrich Bei strafrechtlichen Ermittlungen und im Strafprozess sind datenschutzrechtliche Grundsätze außer Kraft gesetzt. Ist das wirklich so, und welche Personlichkeitsrechte gelten dann überhaupt noch? Mit diesen Fragen beschäftigen sich Holger und Joerg in der aktuellen Episode der Auslegungssache. Zu Gast ist der Vollblut-Strafverteidiger Jens Ferner, der, wie er selbst sagt, in seinem "vorherigen Leben" als Software-Entwickler gearbeitet hat und deshalb sehr gut einschätzen kann, wie die Ermittler in der digitalen Forensik vorgehen. In Jens' Verfahren geht es oft um Delikte mit IT-Bezug, doch darum soll geht es in der Podcast-Episode nicht einmal vorrangig. Jens erzählt sehr eindringlich und dennoch unterhaltsam aus dem Alltag eines Strafverteidigers. Er stellt dar, wie Hausdurchsuchungen wirklich ablaufen und gibt Tipps, wie man sich in einem solchen Fall verhalten sollte. Den verblüfften Podcast-Hosts erklärt er, warum vor der Polizei meist keine Daten sicher sind, auch nicht die Privatesten. Wie sollte man selbst sein Smartphone und seinen PC absichern, um keine Daten von sich und von anderen Personen preisgeben zu müssen? Wie versuchen Strafermittler, an die Daten zu kommen? Jens weist darauf hin, dass sichergestellte Datenträger wie Festplatten und Smartphones unter Umständen von jeder Dorf-Polizeidienststelle entsperrt und ausgelesen werden können. Und dann tauchen vielleicht ganz neue Probleme auf, weil aus Zufallsfunden eine andere als die ursprünglich vermutete Straftat konstruiert werden könnte. der Rat von Jens: "Gebt bloß keinen Zugriff auf die Geräte, egal wie sicher man sich wähnt!"…

Auslegungssache – der c't-Datenschutz-Podcast

1
Medienprivileg - Selbstregulierung durch den Presserat 1:06:23

πριν 22 weeks1:06:23

1:06:23

Mit Roman Portack, Holger Bleich und Joerg Heidrich Homepage des Presserats Pressekodex Online-Beschwerdeformular

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz-Minenfeld Microsoft 365? 1:05:33

πριν 24 weeks1:05:33

1:05:33

Mit Dr. Olaf Koglin, Holger Bleich und Joerg Heidrich Kaum ein Thema ist in der Datenschutzwelt so umstritten wie der Einsatz von Microsoft 365. Kritiker sehen in der kaum überschaubaren Produktwelt von Microsoft jede Menge Reibungspunkte mit der DSGVO, zumal Kernprodukte wie Sharepoint und Teams reine Clouddienste sind und damit personenbezogene Daten auf Microsofts Servern in Irland oder gar in den USA lagern. Europäische Datenschutzbehörden arbeiten sich seit Jahren an den Datenschutzerklärungen und Vertragsgestaltungen ab, die Microsoft anbietet. Die deutsche Datenschutzkonferenz (DSK) hatte sich zuletzt Ende 2022 nach langen Untersuchungen darauf festgelegt, dass sie zu diesem Zeitpunkt einen datenschutzkonformen Betrieb von Microsoft 365 nicht nachweisen konnte. Der niedersächsische Landesdatenschutzbeauftragte dagegen attestierte dem Landesinnenministerium im April 2024 eine akzeptable Vereinbarung mit Microsoft, sodass die Landesbehörden zumindest Microsoft Teams einsetzen können, ohne Konflikte mit der zuständigen Datenschutzbehörde befürchten zu müssen. I, Episode 118 beschäftigen sich Holger und Joerg mit dem gesamten Komplex aus Datenschutzperspektive. Ziel ist es, zu Antworten zu kommen, die Behörden und Unternehmen einen Weg weisen können. Dafür haben sie mit Dr. Olaf Koglin eine ausgesprochenen Spezialisten für genau diese Thematik hinzugezogen. Jurist Olaf berät mit seinem Unternehmen Legal Check Behörden und Unternehmen in Sachen Datenschutz, die Microsoft 365 rechtssicher einsetzen möchten. Zunächst definieren die drei mögliche Knackpunkte, die immer wieder angesprochen sind: Microsofts Verarbeitungsvertrage, das Data Protection Addendum (DPA), und die darin aufgeführten Zwecke, Verantwortlichkeiten und Datentransfers. Kritiker monieren unter anderem, dass Daten in die USA abfließen, die Verwendung von Telemetriedaten ungenügend geklärt ist, die IT-Sicherheit nicht ausführlich beschrieben ist und Microsoft die Verarbeitungszecke nicht abschließend darstellt. Dann geht es um die Stellungnahmen von Aufsichtsbehörden, an denen Olaf teilweise einiges auszusetzen hat. Er erklärt außerdem, worum es bei einem gerade laufenen Verfahren zum Thema in der EU selbst geht. Generell ist sich Olaf aber sicher, dass man die gesamte Microsoft-365-Produktwelt datenschutzkonform einsetzen kann. Neue Probleme enstünden allerdings gerade mit der allmählichen Einführung der KI-Copiloten in die Produkte.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Zusammen stärker? - Die gemeinsame Verantwortung 1:04:58

πριν 26 weeks1:04:58

1:04:58

Mit Dr. Johannes Marosi, Holger Bleich und Joerg Heidrich In Episode 117 dreht sich fast alles um das große Wort "Verantwortung". Diese ist ein Grundpfeiler des Datenschutzrechts: Wo personenbezogene Daten verarbeitet werden, muss jemand existieren, der für die Mittel und die Zwecke verantwortlich zeichnet. Diese reale oder juristische Person muss die Rechte von Betroffenen berücksichtigen, sorgt für rechtmäßige technische Maßnahmen und erfüllt die Compliance-Anforderungen. Nur ist es in der komplexen technischen Welt so, dass eher selten ein Verantwortlicher alles in der eigenen Hand hat. In der Regel werden Datenverarbeitungen ausgelagert, sei es zu einem Cloud-Anbieter oder eine Marketingagentur. Meist vereinbaren die Partner eine Auftragsverarbeitung, bei der der Verarbeiter nur Deligierter, aber kein Verantwortlicher ist. Mitunter kommt es aber auch vor, dass sich mehrere Parteien die Verantwortung zur Verarbeitung teilen. das sogenannte "Joint Controlling" nach Art. 26 DSGVO. Und hier wird es kompliziert. c't-Redakteur Holger und heise-Verlagsjustiziar Joerg besprechen dieses komplexe Feld mit Dr. Johannes Marosi. Johannes arbeitet als Rechtsanwalt für IT- und Datenschutzrecht bei Graf von Westphalen in Frankfurt am Main. Insbesondere aber hat er seine Dissertation über das Thema der gemeinsamen Verantwortung im Datenschutzrecht geschrieben. Johannes bestätigt, dass die alleinige Verantwortung heute selten vorkommt, da die meisten Unternehmen externe Dienstleister für verschiedene Aufgaben hinzuziehen. Ein typisches Beispiel für vertraglich gefestigte Auftragsverarbeitung ist das Webhosting, bei dem ein Cloud-Anbieter Kundendaten speichert und verarbeitet. Bei der gemeinsamen Verantwortung müssen die beteiligten Parteien in einem sogenannten Joint-Controller-Agreement festlegen, wer welche Aufgaben und Pflichten übernimmt. Johannes betont, dass es wichtig sei, derlei Vereinbarungen detailliert auszuarbeiten, um spätere Konflikte zu vermeiden. Im Gespräch wird deutlich, dass die gemeinsame Verantwortung komplex und oft schwer zu handhaben ist. Obwohl die DSGVO rechtliche Rahmenbedingungen vorgibt, bleibt vieles in der Praxis unklar. Unternehmen müssten daher sorgfältig prüfen, wie sie ihre Datenschutzverantwortung organisieren und dokumentieren, resümiert Johannes. Dissertation Dr. Johannes Marosi (PDF): "(Gem-)Einsame Verantwortlichkeit im Datenschutzrecht: Voraussetzungen, Folgen, Perspektiven"…

Auslegungssache – der c't-Datenschutz-Podcast

1
Markus Beckedahl: "Eine bessere digitale Welt ist möglich!" 1:06:54

πριν 28 weeks1:06:54

1:06:54

Mit Markus Beckedahl, Holger Bleich und Joerg Heidrich Die Auslegungssache weitet wieder einmal den Blick und schaut auf die Entwicklung der Digital- und Netzpolitik aus bürgerrechtlicher Perspektive. Zu Gast ist diesmal Markus Beckedahl. Wohl kaum jemand in Deutschland hat von zivilgesellschaftlicher Seite in den vergangenen 20 Jahren die Debatten intensiver verfolgt und mitgeprägt als er. Markus hat 2003 das Blog netzpolitik.org gegründet und war dort bis 2022 Chefredakteur. Im März dieses Jahres hat er den Staffelstab gänzlich übergeben. Außerdem ist er Mitinitiator der jährlichen Konferenz re:publica, deren Programm er noch heute kuratiert. Und nicht zuletzt hatte er 2010 den Verein "Digitale Gesellschaft" mitgegründet, dessen Vorsitzender und Sprecher er bis 2015 war. Im Gespräch mit Holger und Joerg schildert Markus, wie es sich anfühlte, als er 2015 erfuhr, dass gegen ihn wegen Landesverrats ermittelt wurde. Damals hatte netzpolitik.org Dokumente des Bundesamtes für Verfassungsschutz online gestellt, in denen es um Pläne zur stärkeren Überwachung des Internets ging. Markus, der inzwischen neue Projekte gestartet hat, blickt insgesamt positiv auf die netzpolitische Entwicklung in Deutschland zurück. "Manchmal grüßt schon das Murmeltier und die Forderungen nach mehr Überwachung wiederholen sich. Aber wenn wir nichts gemacht hätten wäre alles viel schlimmer", ist er sich sicher. Im digitalpolitschen Bereich helfe es, in langen Linien zu denken und zu schauen, wo man Steine in den Weg legt, um Fehlentwicklungen zu verhindern. Denn, so resümiert Markus: "Eine bessere digitale Welt ist möglich!"…

Auslegungssache – der c't-Datenschutz-Podcast

1
Der niedersächsische LfD im Gespräch 1:09:26

πριν 30 weeks1:09:26

1:09:26

Mit Denis Lehmkemper, Holger Bleich und Joerg Heidrich Seine Ernennung verzögerte sich etwas, doch nun ist der niedersächsische Landesdatenschutzbeauftragte Denis Lehmkemper fast ein Jahr im Amt. Im c't-Datenschutz-Podcast spricht er mit Holger und Joerg über über den Prozess seiner Berufung und dieses erste Jahr. Direkt nach Amtsantritt habe er eine "gut aufgestellte Behörde vorgefunden" und "erst einmal viel zugehört". Lehmkemper vertritt eine kooperative Linie. Seinen Worten zufolge möchte er Dinge ermöglichen und lösungsorientiert arbeiten. In der Episode erläutert er beispielsweise, wie seine Behörde zum Ergebnis kam, dass Microsoft Teams in der niedersächsischen Landesverwaltung anders als in einigen anderen Bundesländern eingesetzt werden darf. Man habe gemäß der Linie der Datenschutzkonferenz mit Microsoft für Niedersachsen die Datenschutzvereinbarungen desn Konzerns angepasst. Um Lösungen für den Einsatz von KI von Wirtschaft und Verwaltung im Bundesland zu finden, hat Lehmkemper einen eigenen Expertenkreis eingerichtet. Zu den zwölf Teilnehmern zählen Vertreter aus der niedersächsischen Wirtschaft und Wissenschaft, der öffentlichen Verwaltung und Datenschutzexperten aus dem gesellschaftlichen Umfeld. Sie sollen "technische und rechtliche Gestaltungsvorschläge" erarbeiten. Dieser von Lehmkemper auch KI-Rat genannte Kreis wird sich zum ersten Mal am 14. August treffen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Die KI-Verordnung: Ein Compliance-Monstrum! 1:12:21

πριν 32 weeks1:12:21

1:12:21

Mit Aurea Verebes, Holger Bleich und Joerg Heidrich Nun ist es soweit: Nach jahrelangen Verhandlungen tritt die KI-Verordnung der EU am 1. August tatsächlich in Kraft, weil sie am 14. Juli im Amtsblatt der EU veröffentlicht wurde. Allerdings kommt sie erst nach Übergangsfristen schrittweise zur Anwendung. Verbote von KI-Kategorien, etwa von Social Scoring, treten nach sechs Monaten in Kraft, die Verpflichtungen für allgemeine KI-Modelle (General Purpose AI, GPAI) gelten nach 12 Monaten und die Regeln für hochriskante KI-Systeme gelten nach 36 Monaten. Am meisten Arbeit dürften Unternehmen und Behörden die umfangreichen Transparenz- und Dokumentationspflichten machen. Im c't-Datenschutz-Podcast werfen Redakteur Holger Bleich und heise-Verlagsjustiziar einen genaueren Blick auf diese - je nach Risikokategorie - unterschiedlich scharfen Regeln. Zur Seite steht ihnen dabei Aurea Verebes. Sie berät und auditiert für die Plesnik GmbH Unternehmen, die KI implementieren möchten oder bereits im Unternehmen nutzen. Außerdem hat sie einen Praxisleitfaden für Datenschutzbeauftragte verfasst, in dem sie sich bereits ausführlich mit den neuen Anforderungen der KI-Verordnung befasst hat. Verebes erläutert die Grundstruktur der Verordnung und erklärt, was hinter dem risikobasierten Ansatz steckt. Außerdem erfahrt Ihr von ihr, wo in diesem Regulierungssystem die generative KI, also GPAI-Systeme, verortet ist. Schnell kommen die drei Diskutanten zur Erkenntnis, dass es sich bei der KI-Verordnung vor allem um ein echtes Compliance-Monstrum handelt. So ist beispielsweise in vielen Einsatzfällen von KI nicht nur eine Datenschutz-Folgeabschätzung erforderlich, sondern auch eine Risikoeinschätzung. Für Berater und Auditoren entsteht hier eine wahre Goldgrube.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Aus dem Alltag externer Datenschutzbeauftragter 1:13:40

πριν 34 weeks1:13:40

1:13:40

Mit Julian Lang, Niklas Mühleis, Joerg Heidrich Interne oder externe Datenschutzbeauftragte? Darüber sprechen wir mit unserem Gast, Julian Lang, der als Berater für Datenschutz und Informationssicherheit bei Althammer & Kill in Hannover tätig ist. Julian erzählt uns über seinen Alltag als externer Datenschutzbeauftragter, der für verschiedene Unternehmen tätig ist. Wir, das ist in dieser Folge neben Joerg als Gastmoderator Niklas Mühleis, der bereits bei uns zu Gast war und als Co-Host unseres neuen Heise-Podcasts "Vorsicht, Kunde!" zu verbraucherrechtlichen Fragen Stellung nimmt. Niklas vertritt Holger, der in dieser Woche seinen wohlverdienten Urlaub in südlichen Gefilden verbringt. Gemeinsam wird im Rahmen unserer Rubrik "Bußgeld der Woche" das Vorgehen der Datenschutzbehörden bei Datenklau-Fällen besprochen. Das sind solche Fälle, in denen sich Polizisten oder auch Ladendetektive die Daten meist von Frauen abrufen, um diese zu kontaktieren. Dazu herrschte allgemeines Erstaunen darüber, dass hier meist nur sehr geringe Bußgelder festgelegt werden. Im Hauptteil der Episode ging es dann um die Rollen und Aufgaben von externen Datenschutzbeauftragten. Lang ist seit vielen Jahren in diesem Bereich tätig und erzählt über seinen Werdegang, die Herausforderungen im Umgang mit den Unternehmen und nicht zuletzt über skurrile Erlebnisse in seinem Job. Die Folge endet mit einem Vergleich zwischen den Vor- und Nachteilen der Berufung eines externen Datenschutzbeauftragten gegenüber einer internen Beauftragung. Zum Abschluss haben die Gäste die Möglichkeit, einen Wunsch an die gute Datenschutzfee zu formulieren.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Ländle unter Aufsicht 1:08:01

πριν 36 weeks1:08:01

1:08:01

Mit Prof. Tobias Keber, Holger Bleich und Joerg Heidrich Dass eine Landesdatenschutzbehörde weitgehend geräuschlos von einer kompetenten Hand in die nächste übergeben wird, ist mitterweile keine Normalität mehr. In Baden-Württemberg hat das funktioniert: Vor rund einem Jahr, am 1. Juli 2023, trat Prof. Tobias Keber die Nachfolge von Stefan Brink als Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württembergs an. In Episode 112 des c't-Datenschutz-Podcasts plaudert Keber über sein erstes Amtsjahr und erläutert, wie er seine Behörde sieht. Der studierte Jurist war zuvor von 2012 bis 2023 Professor für Medienrecht und Medienpolitik an der Hochschule der Medien Stuttgart. Keber ist außerdem seit seit 2015 Vorsitzender des wissenschaftlichen Beirats der Gesellschaft für Datenschutz und Datensicherheit (GDD). Eine Schwerpunkt der Tätigkeit seiner Behörde legte er im ersten Jahr auf die Betrachtung von Künstlicher Intelligenz (KI) aus datenschutzrechtlicher Perspektive. In der Episode spricht sich Keber wie viele seiner Kolleginnen und Kollegen dafür aus, dass hierzulande die deutschen Datenschutzbehörden als Aufsicht für die bald in Kraft tretende KI-Verordnung fungieren. Der Behördenleiter fordert einen pragmatischen Blick auf generative KI und erzählt, dass er schon heute dutzende KI-Projekte öffentlicher Stellen im Ländle datenschutzrechtlich beurteilen muss.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenleaks verhindern! 1:02:35

πριν 38 weeks1:02:35

1:02:35

Mit Dr. Christopher Kunz, Sylvester Tremmel und Holger Bleich Auslegungssache meets Passwort! In der aktuellen Episode trifft der c't-Datenschutz-Podcast auf sein neues Pendant aus der Security-Sparte von heise. Zu Gast sind nämlich Christopher Kunz und Sylvester Tremmel, die beiden Hosts des Podcasts "Passwort". Naturgemäß geht es deshalb diesmal weniger um Auslegungen der DSGVO als um handfeste IT-Sicherheitsprobleme, deretwegen bei Nutzern oder Unternehmen Datenabfluss droht. Christopher und Sylvester schätzen zunächst ein Bußgeld der Datenschutzbehörde Singapurs ein: Wegen eines schwachen Admin-Passworts kam es bei einer Lernplattform zu einem Einbruch und zum Abzug der Daten von über 500.000 Nutzern. Die beiden schätzen die beschriebene Schwachstelle ein und geben Tipps für gutes Passwort-Management sowie Policies in Unternehmen. Ihr Credo: Eine Policy allein genügt nicht, es braucht technische Maßnahmen, um die Mitarbeiter zu starken Passwörtern zu bringen. Im Hauptteil des der Episode erläutern Christopher und Sylvester, wie Nutzernamen-Passwort-Kombinationen gestohlen werden und was jeder einzelne dagegen tun kann. Sie schildern, auf welchen Kanälen derlei Daten gehandelt werden. Außerdem schätzen sie die Qualität und Wirkung von Leakcheckern wie "Have I Been Pwned" ein. Kann man ihnen trauen? Und wie sollte man sie nutzen, auch als Unternehmen?…

Auslegungssache – der c't-Datenschutz-Podcast

1
Ein EU-Wahl-Special 1:14:46

πριν 40 weeks1:14:46

1:14:46

Mit Falk Steiner, Holger Bleich und Joerg Heidrich Die aktuelle Episode des c't-Datenschutz-Podcasts steht fast komplett im Zeichen der Europawahl, die in Deutschland am 9. Juni stattfindet. Holger und Joerg haben sich vorgenommen, einen digitalpolitischen und datenschutzrechtlichen Rückblick auf die vergangene Legislaturperiode zu wagen und begründet dazu aufzurufen, wählen zu gehen. Als versierter Gast bereichert diesmal Falk Steiner das Gespräch. Falk beobachtet als freier Journalist für c't und heise online das politische Geschehen in Berlin und in Brüssel. In der Episode erläutert er die Zusammenhänge zwischen den vielen digitalpolitischen Gesetzgebungsverfahren im Bund und der EU. Außerdem besprechen die drei, welche Verfahren mit in die nächste Legislatur genommen werden dürften und was anstehen könnte. Nicht zuletzt spekulieren sie darüber, ob die Datenschutz-Grundverordnung in den nächsten fünf Jahren aufgeschnürt und reformiert werden könnte. Abschließend folgt noch ein kurzer Ritt durch die Parteiprogramme der größeren deutschen Parteien zur EU-Wahl. Es bleibt die Erkenntnis, dass zur Digitalpolitik durch die Bank viele Allgemeinplätze und wenig konkrete Forderungen zu finden sind. Allenfalls große politisch Linien lassen sich finden. Falk merkt lakonisch an, dass Digitalpolitik und insbesondere Datenschutz eben nach wie vor bei vielen Entscheidungsträgern keinen hohen Stellenwert genießt.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Das KI-DSGVO-Dilemma 1:05:56

πριν 42 weeks1:05:56

1:05:56

Mit Jo Bager, Holger Bleich und Joerg Heidrich Die Datenschutzkonferenz, also das gemeinsame Gremium der deutschen Datenschutzbehörden, hat endlich eine "Orientierungshilfe" zum Umgang mit generativer KI veröffentlicht. Doch was Unternehmen und Behörden helfen soll, bleibt schwammig und könnte sie an mancher Stelle sogar vor unlösbare Probleme stellen. In vielen Punkten bleibt die Orientierungshilfe im Allgemeinen und dürfte Verantwortlichen wenig dabei helfen, "DSGVO-Compliance" herstellen zu können. Vor allem aber zeigt dass Papier - wohl ungewollt - auf, wo die kaum auflösbaren Widersprüche zwischen den Anforderungen der DSGVO und den technischen Besonderheiten von KI-Sprachmodellen (Large Language Models, LLMs) liegen. Im c't-Datenschutzpodcast beschäftigen sich Holger und Joerg mit der Orientierungshilfe und beschreiben das nahezu unauflösbare Dilemma, vor dem die Datenschutzaufsicht steht. Zur Seite steht Ihnen Jo Bager. Der Informatiker arbeitet seit fast 30 Jahren in der c't-Redaktion und begleitet die KI-Evolution von Anfang an. Jo hilft, die juristischen Einschätzungen der DSK technisch einzuordnen. Besonders kontrovers: In Punkt 11.1. ihrer Orientierungshilfe fordert die DSK von Verantwortlichen, dass "betroffene Personen ihre Rechte auf Berichtigung gemäß Art. 16 DSGVO und Löschung gemäß Art. 17 DSGVO ausüben können" müssen. Die DSK pocht hier auf den datenschutzrechtlichen Grundsatz der Richtigkeit personenbezogener Daten. Doch das geht an der technischen Realität vorbei: Ein LLM ist nun einmal keine Datenbank, in der sich Informationen austauschen lassen. In dieselbe Kerbe schlug auch der österreichische Datenschutzaktivist Max Schrems mit seiner Non-Profit-Organisation noyb: Ende April hat noyb für eine betroffene Person Beschwerde gegen Open AI bei der österreichischen Datenschutzbehörde eingereicht. Obwohl das von ChatGPT angegebene Geburtsdatum des Beschwerdeführers falsch sei, habe OpenAI seinen Antrag auf Berichtigung oder Löschung abgelehnt, lautet die Begründung. Open AI habe angegeben, dass eine Korrektur der Daten nicht möglich ist. "Wenn ein System keine genauen und transparenten Ergebnisse liefern kann, darf es nicht zur Erstellung von Personendaten verwendet werden. Die Technologie muss den rechtlichen Anforderungen folgen, nicht umgekehrt“, erklärte Maartje de Graaf, Datenschutzjuristin bei noyb. DSK-Orientierungshilfe "Künstliche Intelligenz und Datenschutz Version 1.0" vom 6. Mai 2024 (PDF) PM noyb zur Beschwerde gegen Open AI: "ChatGPT verbreitet falsche Infos über Personen – und Open AI kann nichts tun"…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz in der Games-Branche 1:12:20

πριν 44 weeks1:12:20

1:12:20

Mit Prof. Christian-Henner Hentsch, Holger Bleich und Joerg Heidrich Der Umsatz mit Computerspielen steigt in Deutschland kontinuierlich. 2023 wurden mit PC-Games und Konsolenspielen mehr als 3,7 Milliarden Euro umgesetzt. Besonders boomt der Markt auf Smartphones und Tablets: Für fast drei Milliarden Euro kauften Daddlerinnen und Daddler Items, Skins oder Coins per In-App-Stores in den Spielen. Für die Branche gelten hierzulande dieselben datenschutzrechtlichen Einschränkungen wie für etwa soziale Medien. Hinzu kommen allerdings noch strenge Jugendschutzbestimmungen. Und längst werden die Games nicht mehr (nur) im Laden gekauft, sondern hauptsächlich über Plattformen wie Steam, Playstation oder eben den Appstores von Google und Apple. Sowohl beim Kauf als auch bei der Nutzung fallen eine Menge Daten an. Im Datenschutz-Podcast von c't erläutert ein juristischer Experte und Interessenvertreter die Perspektive der deutschen Games-Branche: Prof. Christian-Henner Hentsch ist Professor für Urheber- und Medienrecht an der Kölner Forschungsstelle für Medienrecht der TH Köln, daneben verantwortet als Leiter Recht und Regulierung für den Verband der Deutschen Games-Branche "game" alle verbandsinternen rechtlichen Fragen sowie die rechtspolitischen Themen. Henner gibt einen Einblick in die Branche und erklärt, welche Parteien dort derzeit agieren, von Plattformen über Publisher bis zu Indie-Studios. Weil der Verkauf von Werbeplätzen in Spielen kaum stattfinde, benötigten Spiele-Anbieter in aller Regel keine Einwilligung zur Datenerhebung. In diesem Bereich werde alles über die Kauf- und Nutzungsverträge geregelt. Dies umfasse auch die Verarbeitung von anfallenden personenbezogenen Daten während des Spielens. Bei den Plattformen selbst würden eine Menge Daten auflaufen, doch diese würden nur sehr eingeschränkt an Publisher und Entwickler weitergegeben, sagt Hentsch. Aber natürlich finde eine Beobachtung der Spieler statt, um das Spielerlebnis zu optimieren und manchmal auch, um geeignete Stellen zu finden, an denen jemand besipielsweise besonders interessiert sein könnte, mit zusätzlichen Items den Fortgang des Games zu beschleunigen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz im Krankenhaus 1:05:15

πριν 46 weeks1:05:15

1:05:15

Mit Christian Säfken, Holger Bleich und Joerg Heidrich Ja, Datenschutz fordert Aufmerksamkeit. Beim Datenschutz im Gesundheitswesen begeben sich alle Beteidigten aber in ein juristisches Minenfeld, denn hier geht es fast immer um sensible Daten. Im Juristensprech handelt es sich laut Artikel 9 der Datenschutz-Grundverordnung (DSGVO) um die "besondereren Kategorien personenbezogener Daten", für die schärfere Anforderungen bei Verarbeitung und Schutz gelten. Im alltäglichen Klinikbetrieb fallen fast ausschließlich derlei Daten an, und das meist in einem gewachsenen, heterogenen IT-Umfeld. Dort die Verantwortung die Einhaltung aller datenschutzrechtlicher Pflichten zu verantworten, klingt nach einem anspruchsvollen Job. Im c't-Podcast erläutert der Datenschutzbeauftragte eines Krankenhauskonzerns, was er alles im Auge behalten muss: Christian Säfken ist Justiziar und Datenschutzbeauftragter der KRH Klinikum Region Hannover GmbH. Die Klinikgruppe mit 3400 Betten und rund 8500 Mitarbeitern versorgt jährlich rund 135.000 Patienten stationär und zudem 160.000 ambulant. Mit rund 40 Prozent Marktanteil ist die Gesellschaft der größte Anbieter von Gesundheitsdienstleistungen in der Region Hannover. Im Gespräch mit Joerg und Holger schildert Christian die Herausforderungen, die der Klinikalltag mit sich bringt. Wie umgehen mit Notfällen, bei denen keine Einwilligung zu holen ist? Wie reagieren auf datenschutzrechtliche Auskunftsbegehren, die den Rahmen zu sprengen drohen? Was ist mit Gerätschaften, die via Fernwartung Patientendaten preisgeben könnten? Christian gibt spannende Einsichten in die praktischen Probleme und zeigt auf, dass mit Pragmatismus auch die DSGVO-Hürden zu bewältigen sind.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Folgen des Stay-Informed-Datenlecks 1:01:54

πριν 48 weeks1:01:54

1:01:54

Mit Holger Bleich und Joerg Heidrich Wegen der Fehlkonfiguration eines Webservers standen beim Kita- und Schul-App-Betreiber Stay Informed eine Menge sensibler Dateien (teilweise von Minderjährigen) offen im Netz, eventuell sogar über mehrere Jahre. Ein anonymer Hinweisgeber hatte c't auf das gravierende Datenleck aufmerksam gemacht. Wir verifizierten das Problem und wiesen die Stay Informed GmbH aus Freiburg darauf hin. Sie reagierte umgehend und schloss die Lücke. Wegen der datenschutzrechtlichen Konstellation sind die Folgen der Panne in diesem Fall besonders heftig: Stay Informed bietet seine App-Infrastruktur Kitas, Schulen und anderen Einrichtungen zur papierlosen Kommunikation zwischen Mitarbeitern und Eltern an, und zwar als Software-as-a-Service-Produkt. Das Unternehmen schließt dazu mit jeder Einrichtung beziehungsweise mit deren Träger einen Auftragsverarbeitungsvertrag ab. Weil es deshalb als Auftragsnehmer der Datenverarbeitung fungiert, ist es nicht direkt verantwortlich für das Leck im Sinne der DSGVO. Dies sind vielmehr die mehr als 11.000 angeschlossenen Auftragsgeber, also alle Einrichtungen. In Episode 106 der Auslegungssache spricht Joerg mit Holger über die rechtlichen Grundlagen und die Folgen. Holger war an der Recherche zum Stay-Informed-Datenleck beteiligt und kann viel berichten. Joerg erklärt, welche Rolle Stay Informed, die Einrichtungen, und die vom Leak jeder Menge sensibler, personenbezogener Daten Betroffenen rechtlich einnehmen. Es ist vertrackt: Die Einrichtungen und Träger müssen sich auf die Information von Stay Informed verlassen und entsprechend ihre zuständige Landesdatenschutzbehörde zum Vorfall informieren. Eventuell haften sie sogar mit. Überdies können über 800.000 Betroffene ihre Rechte aus der DSGVO beanspruchen, also etwa Auskunft oder Löschung verlangen - und zwar von sicherlich teilweise völlig überforderten Einrichtungen, die selbst gar keinen Einfluss auf das datenverarbeitende System hatten und haben.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Vorsicht, Datenschutz! 1:09:44

πριν 50 weeks1:09:44

1:09:44

Mit Niklas Mühleis, Holger Bleich und Joerg Heidrich Heise-Podcast "Vorsicht, Kunde!" DSGVO-Portal: Rückblick DSGVO-Bußgeldverfahren und Datenpannen 2023

Auslegungssache – der c't-Datenschutz-Podcast

1
Leidige Informationspflichten? 1:10:33

πριν 52 weeks1:10:33

1:10:33

Mit Barbara Schmitz, Holger Bleich und Joerg Heidrich Die Datenschutz-Grundverordnung (DSGVO) gibt "Betroffenen" von Datenverarbeitung einige Rechte in die Hand, beispielsweise das Auskunftsersuchen und die Möglichkeit, personenbezogene Daten vom Verantwortlichen löschen zu lassen. Damit sie wissen, welche Rechte ihnen zustehen und wo sie diese einfordern können, schreibt die DSGVO außerdem in Art. 13 und 14 Informationspflichten vor. Es geht zuallererst um die allseits bekannte Datenschutzerklärung, aber nicht nur um sie. Bei den Informationspflichten steckt der Teufel oft im Detail. Grund genug für den c't-Datenschutz-Podcast, einmal genauer auf den Gesetzestext und mögliche Konstallationen in der Praxis zu schauen. Holger und Joerg bekommen dabei Unterstützung von Barbara Schmitz, Rechtsanwältin für IT- und Datenschutzrecht. Barbara berät Unternehmen zur Erfüllung der Informationspflichten und kann aus ihrem beruflichen Alltag berichten. Kaum beachtet wird in der öffentlichen Diskussion der genannte Art. 14 DSGVO, in dem es um Informationen zu Daten geht, die nicht vom Verantwortlichens selbst erhoben, aber von diesem weiterverarbeitet werden. Hierzu muss er konkret und in einer zeitlichen Frist nach Erhalt die Quelle offenlegen. Spannend: Ändert sich der Verarbeitungszeck, muss auch das mitgeteilt werden. Die Drei in der Runde grübeln darüber, wo diese Pflicht in der Praxis verfängt und ob ihnen eine solche Information schon einmal untergekommen ist.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Kommunikation absichern schwer gemacht! 1:18:29

πριν 1 year1:18:29

1:18:29

Mit Sylvester Tremmel, Holger Bleich und Joerg Heidrich Jüngst titelte c't in einer großen Bestandsaufnahme etwas provokant: "So kaputt ist E-Mail!" Wir zählten all die Schwächen auf, die das Kommunikationsmedium auch nach 40 Jahren nicht los geworden ist. Dazu gehört, dass sich immer noch keine Methode durchgesetzt hat, um vertrauliche Inhalte via Mail Ende-zu-Ende-verschlüsselt von A nach B zu schicken. Klar, es gibt OpenPGP und S/MIME. Doch welcher Adressat nutzt das schon? Dabei ist das Bedürfnis groß: Berufgeheimnisträger wie Ärzte, Anwälte oder Journalisten sind darauf angewiesen, dass ihre Kommunikation von niemandem abgehört werden kann. Außerdem verlangt die Datenschutz-Grundverordnung (DSGVO) in Art. 32 geeignete technische und organisatorische Maßnahmen nach Stand der Technik, die die Verarbeitung von personenbezogenen Daten absichern. Dazu gehört eben explizit auch die Verschlüsselung. In Episode 103 des c't-Datenschutz-Podcasts beschäftigen sich Holger und Joerg mit dieser Problematik auf technischer und rechtlicher Ebene. Zur Vertiefung haben sie mit c't-Redakteur Sylvester Tremmel einen Experten eingeladen, der sich seit Jahren mit Verschlüsselungsmethoden in Mailclients und Messengern auseinandersetzt. Neben den technischen Grundlagen geht es um die rechtliche Einordnung. Joerg weist auf eine Forderung der Bremer Landesdatenschutzbehörde hin, die von Rechtsnwälten verlangt, Mails an Mandanten, Prozessgegner und Kollegen Ende-zu-Ende zu verschlüsseln. Die Runde fragt sich leicht verzweifelt, wie eine solche Forderung zustandekommt und wie sie realisiert werden könnte, obwohl die Adressaten oftmals vor verschlüsselten Mails wie der berühmte Ochs vorm Berg stehen. Die Ratlosigkeit steigt, als ein aktueller Gesetzentwurf aus dem Bundesdigitalministerium zur Sprache kommt: Die geplante Novelle des Gesetzes zum Datenschutz in der Telekommunikation und bei Telemedien (TTDSG) sieht vor, dass jeder E-Mail- und Messenger-Nutzer Ende-zu-Ende-Verschlüsselung beherrschen, aber nicht verpflichtend anwenden muss. Die Runde ist sich einig, dass noch viel Fortschritt bei der E-Mail nötig ist, um dieses Ziel zu realisieren. Sylvester und Holger sind sich einig: Wer bequem und dennoch abhörsicher kommunizieren will, greift derzeit am besten zu verschlüsselnden Messengern wie Signal.…

Auslegungssache – der c't-Datenschutz-Podcast

1
BfDI dringend gesucht! 1:06:49

πριν 1 year1:06:49

1:06:49

Mit Dr. Stefan Brink, Falk Steiner und Holger Bleich Derzeit spielt sich um den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) Ulrich Kelber ein unwürdiges politisches Schauspiel vor den Augen der Öffentlichkeit ab. Kelber, dessen erste fünfjährige Amtszeit am 7. Januar ablief, ist derzeit nur noch geschäftsführend im Amt. Und dies ist der Fall, obwohl sich der SPD-Politiker und Informatiker einen hervorragenden Ruf im Amt erarbeitet hat und in der Datenschutz-Community hoch geachtet wird. Kelber selbst hat in einem ungewöhnlichen Statement selbst erklärt, dass er sich gerne für eine weitere fünfjährige Amtszeit zur Verfügung stellt. Er müsste dafür von der Bundesregierung vorgeschlagen und vom Bundestag gewählt werden. Für seine erste Amtzeit hatte ihn 2019 die SPD vorgeschlagen. Doch die verzichtete nun auf diese Möglichkeit. Der Grund dafür könnte sein, dass sie bereits andere Posten zugeschlagen bekommen hat, vielleicht war ihr Kelber aber auch zu unbequem geworden. Nun liegt das Vorschlagsrecht innerhalb der Ampelkoalition bei den Fraktionen von FDP und Grünen. Die tun sich augenscheinlich schwer, eine geeignete Person als Nachfolger zu benennen, die den Job unter diesen Umständen noch annehmen würde. Parteilos sollte diese Person sein, und fachlich qualifiziert, ist aus den Fraktionen zu hören. Wie die Sache ausgeht, scheint derzeit völlig offen. Dieser unschönen Gemengelage nimmt sich der c't-Datenschutz-Podcast Auslegungssache in seiner aktuellen Episode an. Redakteur Holger Bleich hat sich dazu zwei Gäste eingeladen, die die Lage fachkundig analysieren und ihre Meinung dazu nicht hinter dem Berg halten: Dr. Stefan Brink war selbst bis Ende 2022 Landesdatenschutzbeauftragter in Baden-Württemberg und kennt sich mit den Verfahren bestens aus. Falk Steiner berichtet als freier politischer Korrespondent seit langen Jahren für c't und heise online aus Berlin und Brüssel. Im Podcast erläutert er die politischen Scharmützel rund um die Neubesetzung des Amts und ordnet sie in größere Zusammenhänge ein. Brink hält das Ernennungsverfahren von Leitern der Datenschutzbehörden für völlig intransparent und nicht vereinbar den Vorgaben aus Art. 53 DSGVO: "Es muss ja nicht nur der Wahlakt selbst transparent sein, es beginnt früher. Wo bleiben die Ausschreibungen, aus denen mehrere Bewerber hervorgehen, um eine Auswahl zu haben?" Momentan würden die der Kontrolle Unterworfenen ihre eigenen Kontrolleure bestimmen. Brink weist im Podcast ausdrücklich darauf hin, dass auch er 2016 in einem solchen Verfahren gewählt wurde. Ob er selbst für das Amt des BfDI zur Verfügung stünde? "Ein klares Nein! Man hat mich mehrmals gefragt, und sogar an mich appelliert, mein Nein zu überdenken." Aus dem politischen Berin weiß Steiner zu berichten, dass "zurzeit hinter den Kulissen gemauschelt wird ohne Ende". Da sei auch ein Machtspiel innerhalb der SPD in Gange, bei dem es sogar um rheinischen Klüngel gehe: "Es spielen da Dinge eine Rolle, die mit Datenschutz rein gar nichts zu tun haben." Welche das sind, erfahren Sie in der Podcastepisode.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Monat der Entscheidungen 56:46

πριν 1 year56:46

56:46

Mit Prof. Alexander Golland, Holger Bleich und Joerg Heidrich Gespannt hatte die Datenschutz-Community im Dezember vergangenen Jahres nach Luxemburg geblickt. Gleich sechs Entscheidungen des Europäischen Gerichtshofs standen an, die mehr Klarheit in strittige Fragen zur DSGVO-Auslegung bringen sollten. Doch haben sie diese Erwartung erfüllt? Dieser Frage gehen Joerg Holger in dieser Episode nach. Bereits zum dritten Mal stellte sich Prof. Alexander Golland als Experte zur Verfügung, um im Podcast die Sachlagen kompetent einzuordnen. Alexander lehrt und forscht an der Fachhochschule Aachen zum Recht der Digitalisierung und ist daneben Autor und Herausgeber zahlreicher Veröffentlichungen zum Datenschutzrecht sowie Schriftleiter der Fachzeitschrift "Datenschutz-Berater". Zunächst diskutieren die Drei die EuGH-Entscheidung "Schöner Wohnen" (C-807/21). Dieser zufolge sind DSGVO-Bußgelder gegen Unternehmen möglich, wenn sie ein Verschulden trifft. Ein Fehlverhalten einzelner Mitarbeiter muss hingegen nicht nachgewiesen sein. Dieses muss sich das Unternehmen als juristische Person zurechnen lassen, so der EuGH. Beide Streitparteien werteten das Urteil als Erfolg. Alexander bezeichnet es als "salomonisch" und meint, eigentlich kann sich keine der beiden Seiten darüber freuen. Weiter geht es in der Episode mit den Entscheidungen "NAP" (C-340/21) und "Gemeinde Ummendorf" (C-456/22). Hier wurden Schadensersatzansprüche nach Art. 82 DSGVO aus Datenschutzverstößen heraus verhandelt, konkret ein Cyberangriff, bei dem eventuell personenbezogene Daten abgezogen wurden. Der EuGH entschied de facto eine Beweislastumkehr: Verantwortliche müssen künftig nachweisen, dass ihre Systeme nach Art. 32 DSGVO ausreichend gesichert waren, wenn jemand einen Schaden behauptet. Dem Urteil zufolge können bereits Sorgen und Befürchtungen um einen möglichen Datenverlust einen Schadenersatzanspruch begründen. Doch das die Ängste einen Schaden darstellen, müssen die Betroffenen im Einzelfall nachweisen. Alexander hält diesen Nachweis je nach Umstand für schwierig: "Vielleicht muss mir die Ehefrau bestätigen, dass ich aus Furcht vor dem Missbrauch meiner Daten jede Nacht von drei bis fünf Uhr morgens bibbernd auf der Bettkante saß? Oder ich muss eine Art Angsttagebuch vorlegen können?"…

Auslegungssache – der c't-Datenschutz-Podcast

1
Generative KI vs. DSGVO 1:02:16

πριν 1 year1:02:16

1:02:16

Mit Dr. Michael Koch, Holger Bleich und Joerg Heidrich ChatGPT, Midjourney und Co. stellen die Datenschützer vor völlig neue Herausforderungen. Womit darf man generative KI trainieren? was sollte man beim Nutzen der Blackbox-Modelle beachten, um die Preisgabe personenbezogner Daten zu vermeiden, oder zumindest zu minimieren? Welche Anforderungen stellt die Datenschutz-Grundverordnung (DSGVO) an die Betreiber? Der Datenschutz muss sehr aufpassen, um nicht wieder als Bremser des Fortschritts dazustehen, meint Joerg. Zusammen mit Holger diskutiert er in der Podcast-Episode die möglichen Rechtsgrundlagen und schätzt die momentane Lage ein. Den beiden kompetent zur Seite steht Dr. Michael Koch. Michael ist Mitarbeiter von Joerg in der Rechtsabteilung des Verlags und vertiefte diese Themen zusammen mit ihm viele Male in Webinaren des Verlags. Außerdem ist er Datenschutzmentor für Start-Ups in Hannover und Referent und Fachautor zu den Themengebieten IT-Recht und Datenschutz. Die drei erörtern, wo beim Einsatz von generativer KI welche personenbezogenen Daten verarbeitet werden können - und wo Probleme entstehen. Ein Disput entsteht in der Diskussion, als es um das "Scraping" öffentlich zugänglicher Daten im Web zu Trainingszwecken geht, wie es beispielsweise OpenAI betreibt: Muss man damit rechnen, dass alle veröffentlichten Informationen potenziell als Trainingsmaterial für Sprach-KIs oder Bildgeneratoren fungieren? Michael erläutert, wie eine betriebliche Nutzung von Chatbots mit einer Richtlinie geregelt werden könnte, etwa mit Compliance-Vorschriften und gemeinsam genutzten Funktions-Accounts. Ausführlicher besprechen die Drei außerdem die "Checkliste zum Einsatz LLM-basierter Chatbots", die der Hamburgische Landesdatenschutzbeauftragte öffentlich bereitgestellt hat. Wer sich daran halte, habe schon sehr viel dafür getan, um auf der rechtssicheren Seite zu sein, ist sich Joerg sicher. LfDI Hamburg: Checkliste zum Einsatz LLM-basierter Chatbots LfDI Baden Württemberg: Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz LfDI Baden-Württemberg: Kurz gesagt – LfDI erklärts: Rechtsgrundlagen im Datenschutz beim Einsatz von Künstlicher Intelligenz, offene Online-Veranstaltung am 23.1.24, ab 16 Uhr…

Auslegungssache – der c't-Datenschutz-Podcast

1
Qwaks mit Soße 1:05:26

πριν 1 year1:05:26

1:05:26

Mit Jan Mahn, Sylvester Tremmel und Holger Bleich Geht es nach dem Willen der EU, wird bald jeder Bürger der 27 Mitgliedsstaaten eine europäische digitale Identität (EUid) auf Basis von digitalen Brieftaschen (E-Wallets) erhalten. Bereits 2030 sollen sich 80 Prozent aller EU-Bürger online im Web damit ausweisen können. Die gesetzliche Grundlage dazu nennt sich eIDAS-Verordnung 2.0 (electronic IDentification, Authentication and trust Services). Diese Novellierung der ersten eIDAS-Verordnung aus dem Jahr 2014 hat fast alle gesetzgeberischen Hürden genommen: Am 9. November wurde ein Kompromiss zwischen EU-Rat, Parlament und Kommission erzielt, und am 7. Dezember hat Industrieausschuss des Parlaments diese Vorlage abgesegnet. Stimmt das gesamte Parlament voraussichtlich im Februar 2024 zu, könnte das Gesetz bereits im Frühjahr 2024 in Kraft treten. Doch der Entwurf enthält einen Artikel, der von zivilgesellschaftlichen Organisationen, aber auch IT-Experten aus dem universitären Umfeld scharf kritisiert wird. Warum das so ist, diksutieren die c't-Redakteure Holger Bleich und Sylvester Tremmel sowie der stellvertretende Chefredakteur Jan Mahn ausführlich in Episode 99 des Datenschutz-Podcasts Auslegungssache. c't hat sich in der aktuellen Ausgabe 29/2023, die am heutigen 15. Dezember erscheint, in einem Artikelschwerpunkt mit vielen Facetten dieser Problematik beschäftigt. In erster Linie geht es um Artikel 45 des Entwurfs. Dieser sieht vor, dass Browser wie Chrome, Edge, Firefox, und Safari künftig sogenannte qualifizierte Zertifikate (Qualified Website Authentication Certificates, QWACs) für die Webseiten-Authentifizierung anerkennen müssen. Die Anbieter der Browser sollen Aussteller dieser QWACs, die sogenannten Vertrauensdienste, per Gesetz als sichere Zertifikatsanbieter akzeptieren und in ihre Root-CA-Stores aufnehmen. Die Gefahr dabei: Diese staatlich kontrollierten Anbieter könnten Hintertüren einbauen, um die Verschlüsselung zu kompromittieren und Nutzer zu überwachen. Das ist keine hypothetische Gefahr, totalitäre Regimes und Geheimdienste weltweit haben großes Interesse, den Verkehr ihrer eigenen oder von ausländischen Bürgern abzuhören. Ein Schreckensszenario, das technisch nicht ausgeschlossen wäre: Die staatliche Zertifizierungsstelle von Ländern wie Ungarn könnte falsche Zertifikate für alle Websites ausstellen und der Geheimdienst des Landes könnte den Verkehr mitlesen. Technisch gibt es keinen Mechanismus, dass ungarische Zertifikate nur dort gelten – das Szenario träfe damit alle Europäer. Immer wieder warnen Browser-Hersteller und Wissenschaftler davor, ein Szenario per Gesetz zu ermöglichen, das die Vertraulichkeit von Kommunikation und damit auch den Datenschutz der Bürger derart aushöhlt.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Acht Jahre LfD - eine Bilanz 1:14:09

πριν 1 year1:14:09

1:14:09

Mit Barbara Thiel, Holger Bleich und Joerg Heidrich Es wird langsam zur Tradition im c't-Datenschutz-Podcast: Ehemalige Behördenleiter kommen gerne als Gäste, um die High- und Lowlights ihrer Amtszeit gemeinsam mit Holge und Joerg Revue passieren zu lassen. Und das ohne jene Redebeschränkungen, die ihnen ihre Position auferlegt hatte. In Episode 98 plaudert die ehemalige Landesdatenschutzbeauftrage Niedersachsens Barbara Thiel aus dem datenschutzrechtlichen Nähkästchen. Thiel amtierte von 2015 bis Mitte 2023 und erlebte den Awareness-Wandel, den die DSGVO mit sich brachte, als Behördenleiterin an vorderster Front mit. In Podcast erzählt sie, wie der Start verlief, welche Schwerpunkte sie sich aussuchte und auf welche Widerstände sie im Laufe ihrer Amtszeit stieß. Thiel berichtet von wenig bekannten Verfahren, ordnet aber auch spektakuläre Bußgelder ein, die sie verhängt hat. Im Gespräch bemängelt sie, dass es zu wenig Ambitionen gibt, die Datenschutzregulierung auf deutscher Ebene zu vereinheitlichen und in den europäischen Kontext einzuhegen. An dieser Stelle will sie sich ihren Aussagen zufolge auch künftig engagieren. Erstmals schildert Thiel außerdem öffentlich ihre Motivation dazu, gegen die Ernennung ihres Nachfolgers gerichtlich vorzugehen. Sie kritisiert, dass ihr Nachfolger und CDU-Politiker Dennis Lehmkemper mittels einer Absprache zwischen den Koalitionsfraktionen SPD und Grünen einerseits und der CDU-Landtagsfraktion andererseits vorgeschlagen wurde. Es habe keine Ausschreibung gegeben. Das Verwaltungsgericht Hannover wies Thiels Klage ab, am 15. September schließlich bestätigte auch das Oberverwaltungsgericht Lüneburg, dass Lehmkemper entgegen Thiels Auffassung ernannt werden kann, was Tags darauf auch geschah. Thiel betont im Podcast, dass sich ihre Klage keinesfalls gegen ihren Nachfolger gerichtet habe. Vielmehr vermutet sie beim Ernennungsverfahren in Niedersachsen einen Verstoß gegen Artikel 53 DSGVO, der nicht nur ein transparentes Ernennungsverfahren verlange, sondern auch die erforderliche Sachkunde und Qualifikation des Bewerbers fordere. Schließlich sei allerdings zu ihrem Bedauern in der Sache nicht einmal entschieden worden.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Bericht aus dem EU-Maschinenraum 1:19:04

πριν 1 year1:19:04

1:19:04

Mit Damian Boeselager, Holger Bleich und Joerg Heidrich Diesmal geht es ausnahmsweise weniger um Datenschutz. Wir weiten den Blick in Richtung EU und die komplizierte Gesetzgebung in Brüssel. Dazu sprechen Holgerund Joerg mit dem EU-Parlamentarier Damian Boeselager, der spannende Innenansichten liefert. Damian hat 2017 die Partei Volt mitgegründet und zog mit 0,7 Prozent der deutschen Stimmen für Volt bei der Europawahl 2019 ins Parlament ein, wo er als Mitglied der Fraktion Die Grünen/EFA fungiert. Für die Fraktion verhandelte er als Schattenberichterstatter maßgeblich die beiden Verordnungen Digital Governance Act und Data Act mit. Letztere ist am 9. November vom EU-Parlament final beschlossen worden und tritt damit nach dem erwartbaren Placet des Europäischen Rats bald in Kraft. Im Gespräch zeigt sich Damian als begeisterter EU-Befürworter. Deshalb habe er Volt mit einer dezidiert europäischen Agenda gegründet. Das Motto laute: "Fix the EU!" Er lebe gerade seinen Traum, "mit Impact" Dinge bewegen zu können und an Dingen zu arbeiten, die ihn wirklich interessieren. Damian erläutert die Grundzüge des EU-Gesetzgebungsverfahren und die Rolle des EU-Parlaments darin. Während das Parlament seine Arbeit der sehr transparent offenlege, mauere der der EU-Rat als Gegenpart, kritsiert er. Dies komme insbesondere im Trilog-Verfahren negativ zum Tragen, in dem die verschiedenen Position zu einem Kompromiss gegossen werden müssen. In der Runde geht es ausführlicher ums Zustandekommen des Data Acts. Damian schildert, welche Positionen er vertreten hat und wie er mit Einflussversuchen von Lobbyorganisationen umgeht. Im konkreten Fall versuchte mit Airbus ein großer europäischer Konzern, wichtige Punkte im Data Act zu kippen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz im Verein 1:16:33

πριν 1 year1:16:33

1:16:33

Mit Hendrik vom Lehn, Holger Bleich und Joerg Heidrich Themenbereich "Datenschutz im Ehrenamt" der Stiftung Datenschutz

Auslegungssache – der c't-Datenschutz-Podcast

1
Ein wenig Hinweisgeberschutz 1:17:50

πριν 1 year1:17:50

1:17:50

Mit Dr. Simon Gerdemann, Holger Bleich und Joerg Heidrich Hinweisgeberschutzgesetz, Stand: 31.05.2023

Auslegungssache – der c't-Datenschutz-Podcast

1
Glaubenssache Datenschutz 1:10:37

πριν 1 year1:10:37

1:10:37

Mit Felix Neumann, Holger Bleich und Joerg Heidrich "Artikel 91" - Blog von Felix Neumann zu Datenschutz in Kirchen und Religionsgemeinschaften

Auslegungssache – der c't-Datenschutz-Podcast

1
Das EU-US Data Privacy Framework 1:15:03

πριν 1 year1:15:03

1:15:03

Mit Carola Sieling, Holger Bleich und Joerg Heidrich LfDI Rheinland-Pfalz: Handout "Best of Datenschutz" (PDF) Pressemitteilung OVG Lüneburg zur Klageabweisung der ehem. LfD Niedersachsens EU-US DPF: Homepage und durchsuchbare Liste Anwendungshinweise der DSK zum DPF (PDF, Stand: 4.9.2023)

Auslegungssache – der c't-Datenschutz-Podcast

1
Auserwählte Datenschützer 1:07:13

πριν 1 year1:07:13

1:07:13

Mit Prof. Dr. Fabian Schmieder, Holger Bleich und Joerg Heidrich Die Struktur der Datenschutzaufsicht gilt in Deutschland als so komplex wie in keinem anderen EU-Staat. Grund dafür ist das föderale Prinzip, dem die Aufsicht unterliegt. Insgesamt 17 Landesbehörden wachen darüber, dass öffentliche und private Stellen die Datenschutz-Grundverordnung (DSGVO) befolgen - und legen dabei bisweilen höchst unterschiedliche Maßstäbe an. Auch die Besetzung der Behördenleitung vollzieht jedes Bundesland anders, was immer wieder zu Verwerfungen führt. Das Land Sachsen-Anhalt beispielsweise sucht sage und schreibe seit fünf Jahren einen Nachfolger für den 2018 ausgeschiedenen Landesdatenschutzbeauftragten (LfD) Harald von Bose. Aus verschiedenen Gründen scheiterte die Wahl eines neuen LfDs immer wieder im Landtag. Diese Posse zieht sich bis heute: Zuletzt hat Ende Juni der aktuelle Kandidat Daniel Neugebauer keine Mehrheit erhalten, obwohl er von der Regierungskoalition aus CDU, SPD und FDP vorgeschlagen war; Und, obwohl die Landesregierung im April umstrittenerweise sogar das Wahlverfahren vereinfacht hatte, indem sie das Ausschreibungsverfahren abschaffte. In Niedersachsen war der neue LfD Denis Lehmkemper vom Landtag bereits gewählt und schon fast im Amt, als seine Vorgängerin Barbara Thiel im Juni per Eilantrag gegen seine Ernennung klagte. Thiel kritisiert, dass ihr Nachfolger und CDU-Politiker Lehmkemper mittels einer Absprache zwischen den Koalitionsfraktionen SPD und Grünen einerseits und der CDU-Landtagsfraktion andererseits vorgeschlagen wurde. Es habe keine Ausschreibung gegeben, obwohl die DSGVO eine Auswahl nach Qualifikation, nicht nach Parteibuch verlange. Das Verwaltungsgericht Hannover wies Thiels Klage ab, derzeit liegt das Verfahren in nächster Instanz beim Oberverwaltungsgericht Lüneburg. Nur, wenn auch dort die Klage abgewiesen wird, kann Lehmkemper die Behördenleitung wohl noch im September übernehmen. Für den c't-Datenschutz-Podcast war es höchste Zeit, sich einmal den Verfahren zur Ernennung von LfDs zu widmen. Unterstützung holten sich Heise-Justiziar Joerg Heidrich und Redakteur Holger Bleich an der Hochschule Hannover: Fabian Schmieder forscht und lehrt dort seit 2015 als Professor für Medienrecht mit Schwerpunkt Urheber- und Datenschutzrecht. Im Podcast erläutert er, welche Vorgaben der einschlägige Artikel 53 DSGVO zu Auswahlverfahren, Transparenz und Qualifikation von Aufsichtsbehördenleitern enthält. Es entsteht in der Episodeeine lebendige Diskussion zu den verschiedenen Verfahren in den Bundesländern. Schmieder weist darauf hin, dass die EU selbst ihren Datenschutzbeauftragten über eine Findungskommission ermittelt, die mindestens drei Bewerber vorschlagen muss. Er regt an, derartige Verfahren auch in den Bundesländern einzuführen und verweist unter anderem auf das in Artikel 33 Grundgesetz festgeschriebene Prinzip der Bestenauslese. Das demokratische Wahlverfahren durch die Landesparlamente hält Schmieder für gut, gibt aber zu Bedenken, dass es dabei immer die Gefahr von fehlenden Mehrheiten gibt - siehe Sachsen-Anhalt.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Daten löschen, aber sicher! 1:17:28

πριν 2 years1:17:28

1:17:28

Mit Dr. Christoph Wegener, Holger Bleich und Joerg Heidrich Die Datenschutz-Grundverordnung (DSGVO) beruht auf dem Verbotsparadigma: Das Erheben und Speichern von personenbezogenen Daten ist untersagt, außer es es ist erlaubt. Eine Erlaubnis kann sich nur aus Art. 6 ergeben, in dem die Rechtsgrundlagen definiert sind, also beispielsweise ein "berechtigtes Interesse" oder eine widerrufbare Einwilligung des Dateninhabers. Fällt die Rechtsgrundlage weg, muss der Verantwortliche unverzüglich die erhobenen Daten löschen. Das muss er auch tun, wenn der Dateninhaber von seinem Recht auf "Löschen auf Zuruf" nach Art. 17 DSGVO Gebrauch macht. Diese Gemengelage macht deutlich, auf welch tönernen Füßen datengetriebene Geschäftsmodelle in der EU stehen. Auch die neuen Datengesetze wie der Data Act und Data Governance Act hebeln das Verbotsparadigma nicht aus, sondern müssen sich ihm unterordnen. Hinzu kommt, dass diverse nationale Vorschriften von Behörden und Unternehmen fordern, beispielsweise Verträge und Rechnungen eben nicht zu löschen, sondern innerhalb einer Frist verfügbar zu halten. Zusätzlich gibt es die Pflicht, geschäftliche E-Mails zehn Jahre lang zu archivieren. Außerdem sollen Verantwortliche Backups ihre Datenbestände vorhalten. All diese Ausnahmen deckt Art. 17, Abs. 3 DSGVO. Doch wie soll man das alles praktisch umsetzen; wie löscht man wirklich sicher Daten, um seinen Pflichten nachzukommen? Darüber sprechen Heise-Verlagsjustiziar Joerg Heidrich und Redakteur Holger Bleich in Episode 91 des c't-Datenschutz-Podcasts Auslegungssache. Als kompetenter Gast steht ihnen dabei Dr. Christoph Wegener zur Seite. Wegener ist promovierter Physiker und seit 1999 als freiberuflicher Berater mit der wecon.it-consulting in den Bereichen Informationssicherheit, Datenschutz und Open Source aktiv. Im Podcast erläutert er, welche Methoden er zum Löschen von Daten empfiehlt und gibt hilfreiche Tipps für die Praxis in Unternehmen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Daten sind das neue Geld! 1:16:33

πριν 2 years1:16:33

1:16:33

Mit Prof. Dr. Anna K. Bernzen, Holger Bleich und Joerg Heidrich Na klar, jeder weiß es: Wer kostenlose Plattformen wie Facebook nutzt, bezahlt zwar kein Geld, dafür willigt er oft stillschweigend ein, dass seinen dort hinterlassenen Daten analysiert und genutzt werden. Der Deal lautet: Plattformzugang gegen das Ausspielen personalisierter Werbung. Er findet sich allerorten, beispielsweise auch auf den kostenfreien Angeboten deutscher Verlagshäuser. Was viele nicht wissen: Das Gegenschäft "Leistung gegen Daten" existiert keineswegs nur informell, sondern findet seit Beginn 2022 auch Niederschlag im Bürgerlichen Gesetzbuch (BGB, § 312 Abs. 1a und § 327 Abs. 3). De facto gelten seitdem im digitalen Bereich beim Bezahlen mit Daten dieselben Regeln wie bei Geldzahlungen. Und das hat Folgen, denn Verbraucher haben nun dieselben Rechte. Und Unternehmen treffen dieselben Informations- und Gewährleistungspflichten wie beim Deal "Leistung/Ware gegen Geld". Doch wann genau kommt ein solcher Vertrag zustande? Und wo beißt sich das neue deutsche Recht mit der Prinzipien der Datenschutz-Grundverordnung (DSGVO), etwa der Zweckbindung und dem Kopplungsverbot? Um diese und viele weitere Fragen geht es in Episode 90 des c't-Datenschutz-Podcasts. Holger und Joerg sprechen dazu mit Prof. Dr. Anna K. Bernzen. Die promovierte Juristin verfasst derzeit als Akademische Rätin an der Rheinischen-Friedrich-Wilhelms-Universität Bonn ihre Habilitationsschrift zum Verbraucherschutz in der Plattformökonomie. Seit Oktober 2022 ist sie außerdem Juniorprofessorin für Bürgerliches Recht, Wirtschaftsrecht und Recht der Digitalisierung an der Universität Regensburg. Im Podcast erläutert Anna die Grundlagen des neuen digitalen Vertragsrechts im BGB, weist auf Konfliktpotenzial hin und gibt Tipps für die Praxis.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Cookies und (k)ein Ende 1:31:03

πριν 2 years1:31:03

1:31:03

Mit Sebastian Hilbig, Holger Bleich und Joerg Heidrich Was wenige Hörerinnen und Hörer wissen dürften: Im August 2020 war der Heise-Verlag, genauer die Heise Medien GmbH & Co. KG, ins Visier der Datenschutzaufsicht des Landes Niedersachsen geraten - also der für den in Hannover ansässigen Verlag zuständigen Behörde. Die Landesdatenschutzbeauftragte (LfD) kritisierte die Art und Weise, wie heise online Einwilligungen zum Setzen von First- und Third-Party-Cookies abfragt. Dabei ging es um die optische Gestaltung des sogenannten Consent-Frameworks ebenso wie um das alternative Angebot eines Tracking-freien, aber dann kostenpflichtigen "Pur-Abos". Der Verlag hat die Kritik angenommen und in einem intensiven Austausch mit der Behörde Änderungen vorgenommen sowie Lösungen erarbeitet. Im Dezember 2022 war ein wichtiger Zwischenschritt erfolgt, doch erst im April 2023 zeigte sich die Behörde vollständig zufrieden mit der auf heise online eingesetzen Einwilligungseinholung für Cookies. Im Mai schließlich kamen alle Verfahren zum Abschluss, die Lösung auf heise online wurde abschließend als rechtskonform erklärt. Viele weitere Großverlage haben den Prozess, den man vielleicht als "Musterverfahren" bezeichnen kann, aufmerksam verfolgt und stehen im Austausch mit den technisch und juristisch Verantwortlichen bei Heise. Zwei dieser Verantwortlichen sind Verlagsjustiziar Joerg Heidrich sowie Sebastian Hilbig. Sebastian ist als Technischer Leiter (CTO) bei Heise Medien für die Weiterentwicklung der gesamten digitalen Infrastruktur zuständig. Zu seinem Verantwortungsbereich zählen die Web-Entwicklung, das IT-Systemmanagement und die Produktion. In der Auslegungssache erläutert er zunächst, was Cookies genau sind und welche Problematiken mit ihnen einhergehen. Anschließend arbeitet er zusammen mit Joerg und Holger das Verfahren auf und schildert die Knackpunkte, die auch technischer Art waren. In der Rubrik "Bußgeld der Woche" geht es diesmal außerdem ausgerechnet um ein Bußgeld, dass die Landesdatenschutzbeauftragte Niedersachsens gegen eine Privatperson verhängt hat. Mehrere weibliche Jugendliche hatten den Eindruck, in der Innenstadt von einer männlichen Person verfolgt und fotografiert zu werden. Eine Kontrolle des Smartphones durch die Polizei hatte anschließen ergeben, dass die Betroffenen der gezielte Fokus mehrerer Fotografien waren. Sie informierte die LfD, die im Fotografieren auf der Straße eine unerlaubte Datenerhebung sah. Kritiker befürchten nun bereits das Ende der Streetphotography. Was ist dran? Hinweis in eigener Sache: Die Auslegungssache geht in eine kurze Sommerpause. Die nächste Episode 90 ist für den 11. August 2023 geplant.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datengesetze kontra Datenschutz 1:13:31

πριν 2 years1:13:31

1:13:31

Mit Stephanie Richter, Holger Bleich und Joerg Heidrich Video-Mitschnitt des Vortrags von Stephanie Richter zum Data Act im Rahmen der Privacy-Ring-Tagung

Auslegungssache – der c't-Datenschutz-Podcast

1
Fünf Jahre DSGVO - was hat sie gebracht? 1:17:55

πριν 2 years1:17:55

1:17:55

Mit Dr. Astrid Auer-Reinsdorff, Frederick Richter, Holger Bleich und Joerg Heidrich Aufzeichnungen der Tagung "Privacy Ring: Im Normendschungel der EU" vom 26. Mai 2023

Auslegungssache – der c't-Datenschutz-Podcast

1
Wie der EuGH die DSGVO präzisiert 1:27:03

πριν 2 years1:27:03

1:27:03

Mit Prof. Alexander Golland, Holger Bleich und Joerg Heidrich Seit nunmehr fünf Jahren entfaltet die europäische Datenschutz-Grundverordnung (DSGVO) ihre Wirkung. Wie damals von Experten prognostiziert, bedarf sie an vielen Stellen der Auslegung von Gerichten, weil Begriffe unklar sind oder Sachverhalte nicht eindeutig ins DSGVO-Schema passen. Sind sich Gerichte unsicher, befragen sie den Europäischen Gerichtshof (EuGH), der dann in Urteilen abwägend die DSGVO interpretiert. Dutzende solcher Verfahren liegen derzeit am höchsten EU-Gericht zur Entscheidung vor. Anfang Mai hat der EuGH gleich drei bedeutsame Fälle entschieden. Joerg und Holger erläutern und diskutieren die Sacherverhalte und Urteile. Kompetent zur Seite steht ihnen dabei diesmal Alexander Golland, Professor für Wirtschaftsrecht an der an der Aachen University of Applied Sciences. Alexander lehrt, forscht und publiziert schwerpunktmäßig zum deutschen und europäischen Datenschutzrecht. Im Urteil "Österreichische Post AG" (Az.: C-300/21) geht es um die Frage, ob und ab wann ein Verstoß gegen Vorschriften aus der DSGVO auch einen Schaden darstellen und somit Ansprüche auf Schadensersatz begründen könnte. Sie ist sehr relevant, da der Schadensersatz nach Art. 82 DSGVO für Unternehmen ein großes finanzielles Risiko darstellt, etwa, wenn sie durch ein Leak Daten vieler Kunden fahrlässig preisgeben. In der Rechtssache C-487/21 hat sich der EuGH mit dem Recht Betroffener befasst, eine "Kopie" der personenbezogener Daten zu erhalten: Wie weit geht der DSGVO-Begriff der "Kopie"? Genügt es für Unternehmen, Datenbankauszüge zu schicken, oder müssen tatsächlich exakte Auszüge der gespeicherten Daten herausgerückt werden? Der EuGH wollte sich nicht ganz festlegen und stellte auf die Umstände ab, wie im Podcast ausführlich erläutert wird. Schließlich hatte auch das Verwaltungsgericht Wiesbaden den EuGH beschäftigt (Az. C-60/22): Es stellte die Frage, ob eine unvollständige Rechenschaftspflicht eines Verantwortlichen zum Beispiel durch ein fehlendes oder unvollständiges Verzeichnis der Verarbeitungstätigkeiten dazu führt, dass die Datenverarbeitung insgesamt unrechtmäßig erfolgt ist - mit allen Konsequenzen. Dies verneinte der EuGH und brachte damit ein wenig Entschärfung in die Sanktionierung von fehlender Datenschutz-Bürokratie nach DSGVO.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Sweet Smart Home 1:15:10

πριν 2 years1:15:10

1:15:10

Mit Dr. Marc Störing, Holger Bleich und Joerg Heidrich Die Gebäude-Automatisierung ist endgültig im privaten Zuhause angekommen: Rollläden öffnen und schließen von selbst, Helligkeitssensoren bestimmen, wann das Licht angeht, Bewegungsmelder kommunizieren mit den Heizkörpern, und die Wohnungstür öffnet sich per Fingertip in der Smart-Home-App. Sprachassistenten wie Alexa und Google Assistant erschließen die Steuerung des Smart Homes mit gesprochenen Kommandos. Und das TV-Gerät registriert die Gewohnheiten beim Medienkonsum. All die Sensoren generieren teils personenbezogene Daten, die gespeichert und verarbeitet werden. In der Summe lässt sich daraus eine Menge schließen, was datenschutzrechtliche Fragen aufwirft. Darüber sprechen in Episode 85 des c't-Datenschutz-Podcasts Holger und Joerg mit ihrem Gast Dr. Marc Störing. Der Rechtsanwalt ist Partner in der internationalen Kanzlei Osborne Clarke und dort auf IT-nahe datenschutzrechtliche Beratung spezialisiert. Privat hat Marc ein Faible für Heimautomatisierung - im Podcast erzählt er denn auch zunächst von seinen eigenen Projekten. Im Gespräch klären die Drei, wo welche Daten anfallen können und wie sie gespeichert werden. Anschließend diskutieren sie, welche Rechtsgrundlagen der DSGVO eine Verarbeitung rechtfertigen könnten, sofern nicht ausschließlich das familiäre Umfeld erfasst ist (was praktisch nie der Fall ist). Es geht auch um grundsätzliche Fragen nach Erforderlichkeit, Zweckbindung und Speicherdauer im Smart-Home-Bereich. Ganz andere Problemstellungen entstehen beim "Smart Building" im geschäftlichen Umfeld. Hier geht es etwa um Verantwortlichkeiten, Beschäftigtendatenschutz und Auftragsverarbeitungen spezialisierter Dienstleister. Auch dieses weite Feld wird im Podcast angerissen.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Highlights und Lowlights eines Datenschutz-Aufsehers 1:28:01

πριν 2 years1:28:01

1:28:01

Mit Dr. Stefan Brink, Holger Bleich und Joerg Heidrich Gibt es in Deutschland einen "Datenschutztourismus"? Suchen sich Unternehmen gezielt Standorte in Bundesländern, deren Aufsichtsbehörden die Datenschutz-Grundverordnung (DSGVO) eher lax auslegen? Diese Frage bewegt die einschlägige Community, und deshalb auch den c't-Datenschutz-Podcast Auslegungssache. Holger und Joerg sprechen darüber kontrovers mit Dr. Stefan Brink. Der ehemalige Datenschutzbeauftragte Baden-Württembergs ist Gründer und geschäftsführender Direktor des Wissenschaftlichen Instituts für die Digitalisierung der Arbeitswelt, wida, in Berlin. Brink nimmt in der Podcast-Episode kein Blatt vor den Mund und zieht Bilanz seiner Amtszeit (2016 bis Ende 2022). Brink gibt sich als Verfechter des föderalen Systems bei der Datenschutzaufsicht. Probleme kann er nicht erkennen. Man bekomme "als Unternehmen Rechtssicherheit von der Datenschutzbehörde, wenn man sie befragt". Man müsse nur darauf bestehen, Auskünfte zu bekommen. "Der Rest ist dann Mimimi in der Form: Ich kenne aber eine andere Aufsichtsbehörde, die sieht das freundlicher." Es gehe dann nicht mehr um Rechssicherheit, sondern um "Wünsch dir was". Harsche Kritik übt Brink am gemeinsamen Gremium der deutschen Datenschutzbehörden, der Datenschutzkonferenz (DSK): "Die DSK ist für alle Teilnehmer eine Zumutung. Es gibt wenig, was mich in den vergangenen Jahre so betrübt hat, wie die Zusammenarbeit in der DSK. Als ich mich entschlossen habe, den Amtshut abzulegen, war das kein Faktor, der mich hat zögern lassen." Immherin habe sich "die DSK hat in den letzten Jahren gut zusammengerauft. Wir sollten daran arbeiten, dass die DSK-Entscheidungen verbindlicher werden, das Gremium weiter institutionalisieren". Brink plädiert dafür, die DSK "als übergeordnete Instanz zu stärken". Die Frage werde sein: "Bestehen wir auf einstimmigen Beschlüssen der DSK, oder lassen wir Mehrheitsbeschlüsse zu, an die sich alle Aufsichten halten müssen. Das wird spannend, weil dann auch die durch die DSGVO garantierte Unabhängigkeit der Behörden berührt würde. Es ist der richtige Ansatz, dies durch Bundesgesetzgebung zu unterstützen."…

Auslegungssache – der c't-Datenschutz-Podcast

1
Die unberührte DSGVO? 1:26:59

πριν 2 years1:26:59

1:26:59

Mit Dr. Winfried Veil, Holger Bleich und Joerg Heidrich "Dataprotection Landscape" von Dr. Winfried Veil und Prof. Stefan Heinemann Pressemitteilung der italienischen Datenschutzbehörde zum Verbot von ChatGPT (italienisch)

Auslegungssache – der c't-Datenschutz-Podcast

1
Zertifizierter Datenschutz 1:24:56

πριν 2 years1:24:56

1:24:56

Mit Dr. Sebastian Kraska, Holger Bleich und Joerg Heidrich c't-Artikel von Joerg: Was Sie beachten sollten, bevor Sie eine Perso-Kopie weitergeben

Auslegungssache – der c't-Datenschutz-Podcast

1
Fotos, Videos und der Datenschutz 1:23:43

πριν 2 years1:23:43

1:23:43

Mit Dr. Diana Ettig, Holger Bleich und Joerg Heidrich Webinar und Präsentation zum Thema mit Diana bei der Stiftung Datenschutz Von Diana in der Episode empfohlene Infos zum Thema der Datenschutzbehörde Rheinland-Pfalz

Auslegungssache – der c't-Datenschutz-Podcast

1
E-Marketing-Jura Teil 2 + Amazons Mitarbeiterkontrolle 1:25:26

πριν 2 years1:25:26

1:25:26

Mit Dr. Martin Schirmbacher, Christian Wölbert, Holger Bleich und Joerg Heidrich Pressemitteilung Verwaltungsgericht Hannover: Datenerhebung bei Amazon in Winsen ist rechtmäßig heise.de: Leistungsüberwachung - Amazon gewinnt vor Gericht gegen Datenschutzbehörde

Auslegungssache – der c't-Datenschutz-Podcast

1
Baustelle Gesundheitsdaten 1:27:14

πριν 2 years1:27:14

1:27:14

Mit Peter Schaar, Holger Bleich und Joerg Heidrich Buch: Peter Schaar, Diagnose Digital-Desaster, Ist das Gesundheitswesen noch zu retten? heise online: 300-Millionen-Hack: CCC verlängert Laufzeit der TI-Konnektoren per Software heise online: Gesundheitsdatenraum - EU-Kommission will E-Patientenakte in groß für alle…

Auslegungssache – der c't-Datenschutz-Podcast

1
E-Marketing-Jura - Teil 1 1:22:04

πριν 2 years1:22:04

1:22:04

Mit Dr. Martin Schirmbacher, Holger Bleich und Joerg Heidrich Dr Martin Schirmbacher Liste mit Urteilen zum E-Mail-Marketing Folge 34 von des Podcasts härting|fm mit der LfD Niedersachsen Barbara Thiel

Auslegungssache – der c't-Datenschutz-Podcast

1
Risikobasierter Rück- und Ausblick 1:40:32

πριν 2 years1:40:32

1:40:32

Mit Dr. Thomas Schwenke, Holger Bleich und Joerg Heidrich Rechtsbelehrung-Podcast von Marcus Richter und Thomas Schwenke

Auslegungssache – der c't-Datenschutz-Podcast

1
Neues zum Stand der Technik 1:19:49

πριν 2 years1:19:49

1:19:49

Mit Karsten Bartels, Holger Bleich und Joerg Heidrich Informationen von TeleTrusT zum "Stand der Technik" inklusive der jeweils aktuellen Handreichung dazu

Auslegungssache – der c't-Datenschutz-Podcast

1
Kreative KI 1:22:33

πριν 2 years1:22:33

1:22:33

Mit Jo Bager, Andrea Trinkwalder, Holger Bleich und Joerg Heidrich c't-Artikel aus Ausgabe 25/22: KI-Bildgeneratoren: Was sie können und wie man sie einsetzt Pressemitteilung zum 800.000-Euro-Bußgeld der CNIL gegen Discord (englisch)

Auslegungssache – der c't-Datenschutz-Podcast

1
Recruiting trotz Datenschutz 1:16:24

πριν 2 years1:16:24

1:16:24

Mit Nina Diercks, Holger Bleich und Joerg Heidrich Diercks Digital Recht - Blog von Nina Diercks

Auslegungssache – der c't-Datenschutz-Podcast

1
Couragierte Enttäuschungsprophylaxe 1:10:48

πριν 2 years1:10:48

1:10:48

Mit padeluun, Holger Bleich und Joerg Heidrich In der neuen Episode der Auslegungssache gibt sich ein junggebliebenes Datenschutz-Urgestein die Ehre: padeluun ist zu Gast im c't-Datenschutz-Podcast. Seit 40 Jahren engagiert sich der Künstler und Netzaktivist aus Bielefeld mit Aktionen und im Verein Digitalcourage für Bürgerrechte und den Erhalt der Privatsphäre in der vernetzten Welt. Zunächst beleuchtet Joerg im "Bußgeld der Woche" die jüngste 20-Millionen-Strafe gegen das US-Unternehmen Clearview AI. In der Diskussion mit Holger und padeluun herrscht schnell Konsens darüber, dass die biometrische Erfassung von Personen ohne deren Einwilligung, wie Clearview AI sie betreibt, ein besonders schwerer Verstoß gegen Datenschutzrecht ist. padeluun erläutert, warum und in welchen Formen er sich seit langer Zeit gegen biometrische Datenverarbeitung wendet. Im Gespräch plaudert der Aktivist dann darüber, was ihn außerdem umtreibt und seine Motivation erhält. padeluun beklagt die Entwicklung hin zu zentralen Kommunikationsstrukturen. Es sei schlecht für den Datenschutz und eine Gefahr für die Demokratie, wenn gewinnorientierte Plattformen wie Meta in der Hand weniger seien. Die Übernahme von Twitter durch Elon Musk habe das nur auf die Spitze getrieben. Das Fediverse mit all seinen Anwendungen zeige, dass dezentrale, verteilte Instanzen genauso gut funktionieren können - ohne die Nachteile, die große Betreiber mit sich bringen. Sein Verein Digitalcourage liefert mit den öffentlich zugänglichen Diensten Beispiele dafür. So betreibt er eine Mastodon- und Peertube-Instanz. Bekannt wurde Digitalcourage aber eher wegen einiger spektakulärer Aktionen sowie die alljährliche Verleihung der Big-Brother-Awards. Jüngst machte der Verein Schlagzeilen, weil er Klage gegen die Deutsche Bahn einreichte. Der Vorwurf: Die App DB Navigator setze ohne Wissen und Einwilligung der Nutzenden Werbetracker ein. === Anzeige / Sponsorenhinweis === Der Bundesverband der Arzneimittel-Hersteller e.V. (BAH) ist der mitgliederstärkste Branchenverband der Arzneimittelindustrie in Deutschland und vertritt global agierende Arzneimittel-Hersteller ebenso aktiv wie den breit repräsentierte Mittelstand. Thematische Insights bekommen Sie im neuen Podcast "Gesunde Perspektiven". Jetzt abonnieren! https://www.bah-bonn.de/infothek/podcast-gesunde-perspektiven/ === Anzeige / Sponsorenhinweis Ende ===…

Auslegungssache – der c't-Datenschutz-Podcast

1
Betroffen vor Gericht 1:16:02

πριν 2 years1:16:02

1:16:02

Mit Dr. Diana Ettig, Holger Bleich und Joerg Heidrich Die europäische Datenschutz-Grundverordnung (DSGVO) gewährt Personen, deren Daten erhoben und verarbeitet werden, viele eigene Rechte. Diese sogenannten "Betroffenenrechte" finden sich in den Artikeln 12 bis 20 der DSGVO. Beispielsweise gibt die DSGVO vor, welche Informationen Verantwortliche den Betroffenen in welcher Form geben müssen (Art. 12). Art. 15 regelt den Auskunftsanspruch, außerdem geht es noch um das Recht auf Löschung der Daten sowie um Übertragbarkeit von einem Dienst zum anderen. Gänzlich neu im Vergleich zu älteren Gesetzen wie dem Bundesdatenschutzgesetz (BDSG-alt), billigt Art. 82 DSGVO Betroffenen einen immateriellen Schadenersatzanspruch zu. Genau diese Regelung führt derzeit zu Massenabmahnungen aus Bagatellverstößen heraus. Im c't-Datenschutz-Podcast sprechen Joerg und Holger über die gesetzlichen Grundlagen und die aktuellen Entwicklungen dazu in der Praxis. Ihnen kompetent zur Seite steht in der aktuellen Episode 72 Diana Ettig. Die promovierte Rechtsanwältin vertritt für die Kanzlei Spirit Legal freischaffend ("off counsel") unter anderem Mandanten in Datenschutz-Sachen vor Gericht. Diana berichtet im Podcast von ihren Erfahrungen in Prozessen und erläutert die aktuelle Rechtssprechung anhand konkreter Urteile. Ihrer Beobachtung nach hat sich in einigen Bereichen bereits eine gefestigte Rechtssprechung ("Case Law") herausgebildet. Vieles sei aber noch im Fluss, beispielsweise bei der Bewertung von Schadenersatzansprüchen aus DSGVO-Verstößen heraus.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz-Fundamentalismus? 1:04:42

πριν 2 years1:04:42

1:04:42

Mit Dr. Thilo Weichert, Holger Bleich und Joerg Heidrich Spiegel-Kolumne von Sascha Lobo: "Der Fortschritt und seine Feinde" (7.9.2022) Text auf netzpolitik.org von Thilo Weichert: "Replik auf Sascha Lobo: Datenschutz ist unentbehrlich" (9.9.2022)

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz in der Schule 1:09:24

πριν 2 years1:09:24

1:09:24

Mit Daniel Sandvoß, Holger Bleich und Joerg Heidrich Mittlerweile hat an allen deutschen Schulen das neue Schuljahr begonnen. Aus diesem Anlass widmen sich Holger und Joerg in der neuen Folge dem Datenschutz in der Schule. Kompetent zur Seite steht ihnen dabei Dr. Daniel Sandvoß. Der Jurist lehrt als Hochschuldozent und übernahm 2018 die Leitung des Instituts für Digitalisierung und Datenschutz ID2. Daniel hat zum Thema Datenschutz und Schule promoviert und war an der Entwicklung der niedersächsischen Schulcloud beteiligt. Nach Ansicht von Daniel steht es um den den Datenschutz in Schulen nicht gut. Er vergleicht die Situation mit einem halb eingerissenen Bauklötzchenturm, gar einem "Trümmerhaufen", dem die Baumeister fehlen. Vieles, was die DSGVO fordert, können Schulen derzeit nicht umsetzen. Insbesondere die Dokumentationspflichten würden nicht erfüllt; es mangele an Verarbeitungsverzeichnissen, für die Risikoanalysen nötig wären. Daniel betont, dass in Schulen mit besonders sensiblen Daten nach Art. 9 DSGVO hantiert werde. Im Aufklärungsuntericht etwa geht es auch um sexuelle Orientierung, im Relegionsunterricht um Religionszugehörigkeit, und im Politikunterricht um politische Ausrichtung. Meist handelt es sich um die Verarbeitung von Daten Minderjähriger, was die Lage noch brisanter macht. Dem gegenüber stehen nach Daniels Darstellung überforderte Schulleitungen, die gemäß Datenschutzrecht als Verantortliche Stellen für die Datenverarbeitung fungieren, oft, ohne es zu wissen. Von den Kommunen erhalten Schulen oft wenig konkrete Unterstützung. Zwar drohen keine Bußgelder, weil Schulen öffentliche Stellen sind. Allerdings können Aufsichtsbehörden Verfügungen oder Anordnungen aussprechen, etwa Verbote des Einsatzes bestimmter Software.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Vorsicht Kamera! 1:07:42

πριν 3 years1:07:42

1:07:42

Mit Dr. Nils Christian Haag, Holger Bleich und Joerg Heidrich DSK-Orientierungshilfe Videoüberwachung durch nicht-öffentliche Stellen (PDF, Stand: Juli 2020) LfDI Niedersachsen: Vorlagen für Hinweisschilder zur Videoüberwachung c't-Artikel "Vorsicht, Kamera!" von Holger und Joerg (€)

Auslegungssache – der c't-Datenschutz-Podcast

1
Umgang mit Kundenprofilen 1:19:04

πριν 3 years1:19:04

1:19:04

Mit David Pfau, Holger Bleich und Joerg Heidrich Die niedersächsische Datenschutzbeauftragte Barbara Thiel hat Ende Juli ein praxisrelevantes Verfahren rund um die Auswertung, Anreicherung und Weitergabe von Kundendaten abgeschlossen. 900.000 Euro Bußgeld soll die Hannoversche Volksbank bezahlen, weil sie ohne Einwilligung das Nutzungsverhalten von Kunden analysiert haben und dazu einen Dienstleister herangezogen haben soll. Die Ergebnisse der Analyse hat die Bank laut Aufsichtsbehörde mit Daten einer Wirtschaftsauskunftei abgeglichen und mit Zusatzinformationen angereichert. Ziel sei gewesen, für bestimmte Werbeformen empfängliche Kunden herauszufiltern. Dieses Verfahren ist für den c't-Datenschutz-Podcast Anlass, einmal einen Blick auf den Umgang mit Kundendaten- und Profilen im Datenschutz zu werfen. Holger und Joerg haben für die Episode 68 deshalb David Pfau eingeladen. David ist "Head of Data & Privacy" bei der conreri digital development GmbH. Der Wirtschaftspsychologe gilt als ausgewiesener Datenschutzexperte und berät Unternehmen der Medien- und Digitalbranche. Zunächst besprechen die drei, wie und wo Profilbildung in der DSGVO definiert ist und welche Rechtsgründe es dafür geben kann. Unweigerlich landet man da beim recht unbestimmten "berechtigten Interesse" des Verantwortlichen, also dem Art. 6. Abs. 1 lit f DSGVO, der von Unternehmen regelmäßig herangezogen wird, um der individuellen Einwilligung jedes Kunden zu entgehen. Doch auch das "berechtigte Interesse" rechtfertigt nicht jede Verarbeitung von Kundendaten, wie David betont. Einem freizügigen Umgang mit Kundendaten steht auch die Zweckbindung entgegen, die in Art. 5 DSGVO festgeschrieben ist. David empfiehlt Unternehmen, sich schon bei der Erhebung von Informationen genau mit dem beabsichtigten Zweck auseinanderzusetzen und ihn möglichst weit zu fassen. Insbesondere, wenn Kundendaten später angereichert oder zum Profiling genutzt werden sollen, wird schnell die Grenze des rechtlich Zulässigen erreicht, die David ausführlich erläutert.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Der Elefant im Datenraum 1:15:52

πριν 3 years1:15:52

1:15:52

Mit Thomas Fuchs, Holger Bleich und Joerg Heidrich Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (BfDI) steht stets im Fokus der Öffentlichkeit. Seiner Aufsicht unterliegen nicht nur die deutschen Niederlassungen von Meta (ehemals Facebook) und Google, sondern auch etliche große deutsche Medienhäuser, etwa der Springer-Konzern. Mit Spannung war daher im vergangenen Jahr erwartet worden, wer dem scheidenden, langjährigen BfDI Johannes Caspar folgen wird. Im November 2021 übernahm der Jurist Thomas Fuchs nach seiner Wahl durch die Hamburger Bürgerschaft das Amt. Fuchs war zuvor 13 Jahre lang Direktor der Medienanstalt Hamburg/Schleswig-Holstein. Er ist also im Bereich der behördlichen Aufsicht kein Unbekannter. In der aktuellen Episode 67 des c't-Datenschutz-Podcasts erzählt er von seinen ersten Monaten als oberster Hamburger Datenschützer. Fuchs betont, dass er einen kooperativen Ansatz seiner Behörde in den Vordergrund stellt. Datenschutz sei in den vergangenen vier Jahren vorwiegend als das "scharfe Schwert", die Drohung mit dem Bußgeld, wahrgenommen worden. Es gebe aber ein großes Bedürfnis nach demokratischer Datennutzung, etwa für Forschung und Mobilität: "Das möchte ich von Anfang an begleiten", betont Fuchs. Als Beispiel für verfehlte Regulierung nennt er die Pläne zu einem Impfregister: "Wir haben in der Coronapandemie brutalen Datenmangel. Viele haben gesagt, ein Impfregister geht datenschutzrechtlich nicht. Ich würde sagen: Das ginge sehr wohl datenschutzkonform, wenn klar geregelt würde, wer darauf zugreifen darf." Das Werk seines Vorgängers will Fuchs fortführen: "Wir beschäftigen uns weiterhin intensiv mit Meta und Google, und wir haben auch noch Einfluss auf die Entscheidungen, die allerdings in Irland getroffen werden." Fuchs ist guter Dinge, dass die irische Datenschutzbehörde als in der EU zuständige Aufsicht über die großen Tech-Konzerne gerade die Zügel anzieht. "Eine Entscheidung zur Datenübermittlung von Facebook in die USA steht beispielsweise unmittelbar bevor." Bauchschmerzen bereitet Hamburgs neuem BfDI die Ausformulierung der EU-Datenstrategie. Gesetze wie der Data Act oder der Data Governance Act seien zwar für sich genommen "spannend und relevant". Aber es sei "schlicht eine Katastrophe", dass sie keine Ausnahmen zur DSGVO enthalten, sondern komplett mit ihr in Einklang zu bringen sind: "Künftig dürften noch mehr Projekte gar nicht erst in Angriff genommen werden, aus Angst davor, irgendwie gegen Datenschutzrecht zu verstoßen." Die DSGVO müsse sich in einen Binnenmarkt einbetten, der auch Wirtschaftsinteressen berücksichtigt, sonst sei sie nicht zukunftsfähig.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Die Industrieperspektive 1:11:57

πριν 3 years1:11:57

1:11:57

Mit Rebekka Weiß, Holger Bleich und Joerg Heidrich Immer mehr Datenschutzexperten beklagen, dass der Datenschutz allzu einseitig als Verbraucherschutz interpretiert wird. Andere Interessen wie die der Forschung, der Bildung oder auch der Wirtschaft blieben dabei häufig auf der Strecke. Für Holger und Joerg ist das ein Anlass, im Podcast einmal die Perspektive der datengetriebenen Industrie zu beleuchten. Dazu haben sie Rebekka Weiß in die aktuelle Episode 66 eingeladen. Rebekka ist die "Leiterin Vertrauen & Sicherheit" beim IT-Branchenverband Bitkom. Die Volljuristin betreut beim Verband unter anderem die inhaltliche Arbeit in den Bereichen Datenschutz, Wettbewerbs- sowie Kartellrecht, Trust Services und Digitale Identitäten. Sie vertritt den Bitkom und die Wirtschaft in verschiedenen Expertengremien und stimmt deshalb durchaus zu, wenn sie im Podcast von Bleich als Lobbyistin bezeichnet wird. Sie erläutert, an welchen Stellen sie im politischen Berlin mitspricht. Rebekka berichtet davon, mit welchen Problemen die Unternehmen nach wie vor bei der Umsetzung des Datenschutz im Alltag zu kämpfen haben. Auf der einen Seite seien vier Jahre nach Wirksamwerden der DSGVO Prozesse angepasst worden und Datenschutz werde nun bereits bei der Entwicklung von Prozessen und Innovationen mitgedacht. Trotzdem gäbe es immer noch viele Rechtsunsicherheiten, beispielsweise bei der Umsetzung von Auskunftsansprüchen, die in letzter Zeit mehr und mehr wahrgenommen werden. Und auch die unklaren rechtlichen Verhältnisse beim Datentransfer in die USA stelle viele Unternehmen vor große Probleme. Die Juristin wünscht sich mehr Balance und Ausgleich bei der Auslegung der DSGVO und mehr Einigkeit der Behörden.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz in der Blockchain? 1:19:12

πριν 3 years1:19:12

1:19:12

Mit Sylvester Tremmel, Holger Bleich und Joerg Heidrich Bitkom-Faktenpapier zur Anwendung der DSGVO bei Blockchains (PDF)

Auslegungssache – der c't-Datenschutz-Podcast

1
DSGVO in der öffentlichen Verwaltung 1:10:45

πριν 3 years1:10:45

1:10:45

Mit Dr. Daniel Sandvoß Leitfäden des ID2 für Digitalisierung und Datenschutz in der kommunalen Verwaltung

Auslegungssache – der c't-Datenschutz-Podcast

1
Bußgelder und Schadensersatz - Entwicklungen 1:07:07

πριν 3 years1:07:07

1:07:07

Mit Tim Wybitul, Holger Bleich und Joerg Heidrich Neues Modell zur Berechnung von Bußgeldern des EDSA (PDF, englisch)

Auslegungssache – der c't-Datenschutz-Podcast

1
Massenüberwachung mit "Chatkontrolle"? 1:14:44

πριν 3 years1:14:44

1:14:44

Mit Dr. Patrick Breyer, Holger Bleich und Joerg Heidrich Pressemitteilung der EU-Kommission (mit Link zum Entwurfstext): "Kampf gegen Kindesmissbrauch: Kommission präsentiert Gesetzesvorschlag zum Schutz von Kindern" heise online zum Entwurf: Chatkontrolle - EU-Kommission bringt Verordnung für Kinderporno-Scans auf den Weg heise online zu den Reaktionen auf den Entwurf: Chatkontrolle und Websperren- EU-Kommission legt "die Axt an die Grundrechte" Patrick Beyers Infos zur "Chatkontrolle"…

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz für die Schublade 1:28:35

πριν 3 years1:28:35

1:28:35

Mit Kathrin Schürmann, Holger Bleich und Joerg Heidrich Dr. Datenschutz mit Hinweisen zu Positivlisten für eine DSFA Abgestimmte DSFA-Positivliste der DSK DSFA-Leitfaden des BayLfD

Auslegungssache – der c't-Datenschutz-Podcast

1
Privatsphäre vs. Strafverfolgung 1:14:22

πριν 3 years1:14:22

1:14:22

Mit Prof. Dennis-Kenji Kipker, Holger Bleich und Joerg Heidrich Dennis Kenji Kipker, Juristisches Neuland, Der Fall EncroChat: Rechtliche Probleme bei digitalen Ermittlungen, c't 9/2022, S. 174 (Paywall)

Auslegungssache – der c't-Datenschutz-Podcast

1
Privacy Harbour oder Safe Shield? 1:25:57

πριν 3 years1:25:57

1:25:57

Mit Prof. Alexander Golland, Holger Bleich und Joerg Heidrich Einen "großen Durchbruch" für den internationalen Datenverkehr hatten US-Präsident Joe Biden und EU-Kommissionspräsidentin Ursula von der Leyen Ende März versprochen. In einer gemeinsamen Pressekonferenz vermeldeten sie eine "grundsätzliche Einigung" für ein neues Datenschutzabkommen, nachdem das Privacy Shield 2020 vom Europäischen Gerichtshof für rechtswidrig und damit unwirksam erklärt worden war. Mit ihrer Erklärung weckten die beiden Spitzenpolitiker große Hoffnungen bei Unternehmen dies- und jenseits des Atlantiks. Zu recht? Dieser Frage gehen Holger und Joerg in Episode 59 nach. Als Gast in dieser Folge schätzt Prof. Alexander Golland die Lage kompetent ein. Alexander lehrt, forscht und publiziert schwerpunktmäßig zum deutschen und europäischen Datenschutzrecht. Er hält eine Professur für Wirtschaftsrecht an der Fachhochschule Aachen. Zunächst klären die drei, welche Voraussetzungen für einen sicheren Datentransfer in Staaten außerhalb der EU gegen sein müssen: Nach Art. 45 DSGVO muss die EU-Kommission einen sogenannten Angemessenheitsbeschluss verabschieden, in dem dem Zielland ein dem der EU ähnliches Datenschutzniveau attestiert wird. Dies sst beispielsweise für die Schweiz, Kanada, Neuseeland oder Japan der Fall. Warum die Kommission nach dem Brexit sehr eilig einen befristeten Angemessenheitsbeschluss mit dem Vereinigten Königreich (UK) herbeigeführt hat, erklärt Alexander ausführlich. Außerdem schildert er detailliert, wie steinig und zeitraubend der formale Weg zu einem neuen Angemessenheitsbeschluss zur Datensicherheit in den USA sein wird. Deshalb dämpft er die Erwartungen für eine baldige neue Rechtsgrundlage: "Vor 2023 wird das eher nicht klappen", lautet seine Prognose, die sich mit der vieler anderen Experten deckt. Viele Unternehmen bringt das nun in eine schwierige Situation: Bis Ende 2022 müssen sie ihren Datentransfer mit den Juni 2021 aktualisierten Standard-Vertragsklauseln (SCC) rechtlich absichern. Dann sind sie auch verpflichtet, eine Risikoabschätzung im Rahmen eines Transfer Impact Assessments (TIA) vorzuhalten - was erhebliche zusätzliche Kosten verursacht. Die SCC-Vertragsparteien müssen darin darstellen, dass der Empfänger der Daten im Drittland in der Lage ist, den rechtlichen Anforderungen nachzukommen. Was also tun? Sollten die Unternehmen darauf vertrauen, dass die EU-Kommission bis dahin einen Beschluss zustande bekommt - oder sollten sie doch vorbeugend in den sauren, teuren Apfel beißen? Alexander gibt im Podcast Hinweise.…

Auslegungssache – der c't-Datenschutz-Podcast

1
"So viele Acts, so wenig Zeit" 1:12:15

πριν 3 years1:12:15

1:12:15

Mit Alexandra Ebert, Holger Bleich und Joerg Heidrich Data Democratization Podcast von Alexandra Ebert

Auslegungssache – der c't-Datenschutz-Podcast

1
Episode 58 kommt am 25. März 2022 0:42

πριν 3 years0:42

0:42

Mit Holger Bleich Liebe Hörerinnen und Hörer der Auslegungssache: Wegen eines Krankheitsfalls mussten wir die geplante Aufzeichnung von Episode 58 verschieben. Wir bleiben im Turnus und verschieben die Veröffentlichung der neuen Episode auf den 25. März 2022. Vielen Dank vorab für Euer Verständnis! Viele Grüße von Joerg und Holger - und bleibt gesund :-)…

Auslegungssache – der c't-Datenschutz-Podcast

1
IT-Sicherheit und Datenschutz 1:13:43

πριν 3 years1:13:43

1:13:43

Mit Adrian Schneider, Joerg Heidrich, Achim Barczok IT-Recht-Blog Telemedicus: https://www.telemedicus.info

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz für Websites 1:24:33

πριν 3 years1:24:33

1:24:33

Mit Carola Sieling, Joerg Heidrich, Achim Barczok Ob Vereinsauftritt, privates Blog oder Online-Shop: Für Webseiten gilt die DSGVO. Wer eine Seite aufsetzt, muss sich deshalb von Anfang an Gedanken machen, an welchen Stellen er Nutzerdaten speichert, verarbeitet und weiterleitet, zum Beispiel über eingebundene Dienste und Plug-ins. Doch wie genau bekommt man seine Webseite datenschutzkonform? Diese Frage beantworten Joerg und Achim – Holgers Urlaubsvertretung – gemeinsam mit Carola Sieling. Carola ist bereits zum dritten Mal (Folge 27, Folge 18) in der c't Auslegungssache zu Gast und erklärt, welche Vorgaben der DSGVO für Website-Anbieter relevant sind. Wunderbar zum Thema Websites passt auch das Bußgeld der Woche, das in dieser Woche gar kein Bußgeld ist, sondern ein Schadensersatz. Ein Webseitenbetreiber muss 100 Euro an einen Seitenbesucher bezahlen, weil dessen IP durch den Einsatz von Google Fonts an Google in den USA weitergegeben wurde – ohne Einwilligung. Das Urteil ist noch nicht rechtskräftig. Beim Betreiben einer Webseite lauern zahlreiche weitere Datenschutzfallen: Das eingebettete Video von YouTube ist ebenso problematisch wie der Like-Button für Facebook, und im Newsletterformular sollte man sich hüten, allzu viele persönliche Informationen abzufragen. Bei Fotos kommen außerdem Urheberrecht und Persönlichkeitsrechte hinzu, die es zu beachten gilt. Besonders kritisch ist das Einbauen von Analytics-Tools, mit denen man mehr über die Besucher seiner Webseite erfahren kann. Jüngst hat etwa die österreichische Datenschutzbehörde entschieden, dass der Einsatz von Google Analytics gegen die DSGVO verstößt – und auch Joerg und Carola sind eindeutig der Meinung, dass man fürs Besucherzählen derzeit besser nicht den Dienst von Google einsetzt.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Problemfall Entscheidungsalgorithmen 1:16:44

πριν 3 years1:16:44

1:16:44

Mit Peter Hense, Holger Bleich und Joerg Heidrich Das "Unding"-Projekt - Automatische Entscheidungen anfechten

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz-Ausblick 2022 1:20:17

πριν 3 years1:20:17

1:20:17

Mit Frederick Richter, Holger Bleich und Joerg Heidrich Stiftung Datenschutz CNIL-Pressemeldung mit Links: "The CNIL fines GOOGLE a total of 150 million euros and FACEBOOK 60 million euros for non-compliance with French legislation" EU-Kommissions-Pläne für Gesetzgebungsverfahren 2022 (PDF)

Auslegungssache – der c't-Datenschutz-Podcast

1
Dr. Datenschutz meets Auslegungssache 1:25:11

πριν 3 years1:25:11

1:25:11

Mit Laura L. Stoll, Cornelius von Cramm, Holger Bleich und Joerg Heidrich Der Dr.-Datenschutz-Podcast

Auslegungssache – der c't-Datenschutz-Podcast

1
Dystopie Mitarbeiterüberwachung 45:07

πριν 3 years45:07

45:07

Mit Eva Wolfangel, Holger Bleich und Joerg Heidrich Überwachung von Angestellten: „Jeder ist potenziell verdächtig“, von Eva Wolfangel

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz als Verbraucherrecht 1:15:24

πριν 3 years1:15:24

1:15:24

Mit Heiko Dünkel, Holger Bleich und Joerg Heidrich Konferenzprogramm und Livestream-Links Techtide am 2.12.2021 Urteil LG Mainz "Inkassofirma muss 5.000 Euro Schadensersatz wegen Schufa-Eintrag zahlen" Der neue 327q BGB (ab 1.1.2022)

Auslegungssache – der c't-Datenschutz-Podcast

1
Post Privacy, Tannenbäume und Transhumanismus 1:23:20

πριν 3 years1:23:20

1:23:20

Mit Dr. Thomas Schwenke, Holger Bleich und Joerg Heidrich Der Podcast "Rechtsbelehrung" von Marcus Richter und Dr. Thomas Schwenke

Auslegungssache – der c't-Datenschutz-Podcast

1
Das TTDSG - Alter Datenschutz in neuen Schäuchen? 1:17:13

πριν 3 years1:17:13

1:17:13

Mit Dr. Carlo Piltz, Holger Bleich und Joerg Heidrich Volltext TTDSG in der verabschiedeten Fassung de lege data (aktuelle datenschutzrechtliche Einschätzungen von Dr. Carlo Piltz)

Auslegungssache – der c't-Datenschutz-Podcast

1
DSGVO Art. 6: Wann Datenverabeitung erlaubt ist 1:26:11

πριν 3 years1:26:11

1:26:11

Mit Sascha Kremer, Holger Bleich und Joerg Heidrich Für Episode 48 des c't-Datenschutz-Podcasts hatten sich Joerg und Holger auf die Anregung eines Hörers vorgenommen, ausgiebig zu klären, wann Datenverarbeitungen nach DSGVO erlaubt sind. Herausgekommen ist eine Auslegungssache mit deutlicher Überlänge. Die Zeit ist gut investiert, denn als Podcast-Gast erläutert der auf Datenschutz spezialisierte Rechtsanwalt Sascha Kremer die Sachlage auch für Laien verständlich und anhand vieler konkreter Beispiele. Als Mantra der DSGVO gilt: Jede Verarbeitung von personenbezogenen Daten ist verboten, außer es existiert eine Erlaubnis ("Verbot mit Erlaubnisvorbehalt"). Was erlaubt ist, regelt Art. 6 DSGVO, der die sechs möglichen Rechtsgrundlagen definiert. Am Beginn der Liste steht die infomierte Einwilligung der betroffenen Person. Jeder kennt sie, beispielsweise durch die Websites vergeschalteten Cookie-Banner. Unternehmen mögen sie sie nicht sonderlich, weil sie jederzeit widerrufbar ist. Lieber ist ihnen, sich auf die erlaubte Datenverarbeitung im Umfeld eines Vertragsschlusses zu berufen. Diese greift bereits bei der Anbahnung, beispielsweise wenn ein potenzieller Kunde Produkte in den Warenkorb eines Onlineshops legt. In der Podcast-Episode legen Joerg und Sascha Kremer ein besonderes Augenmerk auf Art. 6 Abs. 1f, aus die erlaubte "Verarbeitung zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten". Joerg bezeichnet diese Rechtsgrundlage als "Auffangvorschrift". Kremer weist darauf hin, dass diese Rechtsgrundlage oft falsch verstanden wird: Es gehe nicht nur ums berechtigte Interesse des Verarbeitenden, sondern um eine Abwägung von Interessen des Verarbeitenden, der betroffenen Person und vielleicht auch noch Dritter. Deshalb lasse sich daraus keinesfalls ein Freibrief konstruieren. Anhand von Beispielen werfen die drei Diskutanten Interessen auf beide Seiten der Waage und schauen, wann tatsächlich "berechtigtes Interesse" vorliegt.…

Auslegungssache – der c't-Datenschutz-Podcast

1
Don’t Look Back in Anger 57:01

πριν 3 years57:01

57:01

Mit Prof. Johannes Caspar, Holger Bleich und Joerg Heidrich 12 engagierte Jahre im Amt als Datenschutzbeauftragter des Landes Hamburg liegen hinter Johannes Caspar. Unter seiner Aufsicht standen beispielsweise Google und Facebook, weil sie ihre deutschen Zelte in der Hansestadt aufgeschlagen haben. Und Caspar hat mit den beiden US-Konzernen einige Konflikte ausgetragen, die international Beachtung fanden, beispielsweise zu Googles Streetview oder dem Datenaustausch zwischen Facebook und WhatsApp. Im c't-Datenschutz-Podcast blickt Caspar zurück auf zwei Amtszeiten, nicht immer ganz ohne Zorn. Die Einführung der DSGVO beschreibt Caspar als große Zäsur: "Vorher war der Datenschutz ein 'Recht des Volkes', flankiert von den 'kleinen Helden', den Landesdatenschutzbeauftragten." Die DSGVO habe zu einer Machtfülle der Datenschutzaufsicht geführt, die sie auch angreifbarer mache. Für lokale Unternehmen fungiere man als Ansprechpartner und Berater. Das falle allerdings zunehmend schwer, "weil die Behörden so schlecht ausgestattet sind, dass sie nicht einmal die Beschwerden von Personen abarbeiten können". Wegen mangelhafter Ausstattung habe seine Behörde "einen Berg von Beschwerden vor uns hergeschoben, den wir nicht abtragen konnten". Das liege an verfehlter Politik. Caspar betont die gute Zusammenarbeit mit den anderen Länderbehörden in der Datenschutzkonferenz (DSK). Die DSK habe sich über viele Jahre hinweg bewährt: "Dieses Gremium wird ziemlich unterschätzt. Sie ist die Speerspitze des Datenschutzes in Europa." Eine Zentralisierung der deutschen Datenschutzaufsicht sei unnötig: "Ich bin ein Freund der Diversität". Allerdings führe diese im Vollzug auch auch zu Diskussionen, Schleifen und zur Überbürokratisierung. Eine Reform sei angebracht. Deutliche Kritik übt Caspar an der irischen Datenschutzbehörde, die die meisten US-Konzerne in Europa beaufsichtigt und sanktioniert. Irland sei gleichzeitig ein Steuerparadies und eine Datenschutzwüste. In den US-amerikanischen Konzernzentralen habe sich das längst herumgesprochen: "Man will nur nach Irland." Und wenn dann Unternehmen in Hamburg kontrolliert würden, aber in Irland passiere nichts, verlören Bürger und Unternehmen den Glauben an fairen Datenschutz. Weil nie etwas passiert sei, habe er beispielsweise selbst eine Anordnung im Eilverfahren für drei Monate gegen WhatsApp erlassen. Er sei sehr enttäuscht gewesen, dass der EU-Datenschutzausschuss dieses Verfahren im Juli gestoppt hat. Ein Hoffungsschimmer sei das gerade in Irlang verhängte Bußgeld von 225 Millionen Euro gegen WhatsApp. Laut Caspar hat sich eben über die Jahre einiges angesammelt und führt nun zu einer vergleichsweise hohen Strafe. Caspar wörtlich: "Ich war mal Straßenfußballer. Da galt: 'drei Ecken, ein Elfer'."…

Auslegungssache – der c't-Datenschutz-Podcast

1
"Die Hölle ist zugefroren!" 1:16:11

πριν 3 years1:16:11

1:16:11

Mit Katrin Kirchert, Holger Bleich und Joerg Heidrich Fleischhauer-Kolumne (Focus online): "Wer schuld ist, wenn die Kinder verblöden? Ich habe einen Hauptverdächtigen für Sie" Dr. Datenschutz: "WhatsApp: Wie aus einem 50 Mio. € Bußgeld 225 Mio. € wurden" PDF: EDSA-Beschluss zum DPC-WhatsApp-Verfahren…

Auslegungssache – der c't-Datenschutz-Podcast

1
Apples CSAM-Scanning-Pläne: Fortschritt oder Privacy-Dammbruch? 1:22:15

πριν 4 years1:22:15

1:22:15

Mit Tim Pritlove, Jürgen Schmidt, Joerg Heidrich und Holger Bleich NCMEC: Statistiken zu den Meldezahlen großer Plattformen Podcast Logbuch:Netzpolitik von Tim Pritlove und Linus Neumann Kommentar von Jürgen Schmidt: Apples CSAM-Scans – Ein Tabubruch, der in die Totalüberwachung führt (heise online) iPhone soll Fotos überwachen: 90 Organisationen rufen Apple zu Kehrtwende auf (heise online) Apple-Manager: iCloud "beste Plattform" für Pädokriminalität (heise online)…

Auslegungssache – der c't-Datenschutz-Podcast

1
Sommer, Sonne, Datenschutz 1:13:16

πριν 4 years1:13:16

1:13:16

Mit Johannes Börnsen, Holger Bleich und Joerg Heidrich Der Tätigkeitsbericht der LfDI Niedersachsen 2020 (Bußgeld der Woche auf S. 97)

Auslegungssache – der c't-Datenschutz-Podcast

1
IT-Forensik und Datenschutz 1:18:43

πριν 4 years1:18:43

1:18:43

Mit Dr. Christoph Wegener, Holger Bleich und Joerg Heidrich c't-Artikel (kostenpflichtig online): Dr. Christoph Wegener und Joerg Heidrich, Verdachtsmomente finden, Beweise sichern – und zwar datenschutzgerecht, c't 15/2021, S. 166

Auslegungssache – der c't-Datenschutz-Podcast

1
Datenschutz-Basics für kleine Unternehmen 1:17:43

πριν 4 years1:17:43

1:17:43

Mit Nils Haag, Holger Bleich und Joerg Heidrich Wer ein Unternehmen an den Start bringt, hat in der Regel anderes zu tun, als sich mit Datenschutz-Belangen zu beschäftigen. Das kann unangenehme Folgen haben, denn die Regeln der DSGVO gelten für kleine Start-ups fast exakt genauso wie für große Konzerne. In Episode 42 des Auslegungssache-Podcasts geben Joerg und Holger Tipps an die Hand, worauf das Augenmerk gerichtet werden sollte, um Ärger zu vermeiden. Zur Verstärkung haben sie Dr. Nils Christian Haag in die Sendung geladen. Der Rechtsanwalt schöpft aus seiner langjährigen Erfahrung als Datenschutzbeauftragter verschiedener Unternehmen und seiner Tätigkeit als Vorstand von Intersoft Consulting, eines auf Datenschutz-Beratung spezialisierten Unternehmens. Haag erläutert Punkt für Punkt, welche Vorschriften der DSGVO kleine Firmen und auch Vereine besonders im Fokus haben sollten. Unter anderem geht es um den Web-Auftritt, die Kundenpflege, korrektes Marketing, ein vernünftiges Verzeichnis der Verarbeitungstätigkeiten und natürlich die Auftragsverarbeitung. Auch wenn im Unternehmen unter 20 Mitarbeiter mit der Verarbeitung zu tun haben und deshalb kein Datenschutzbeauftragter vorhanden sein muss, ändere das nichts an den Pflichten, betont Haag: "Da kommt es manchmal zu folgenschweren Missverständnissen."…

Auslegungssache – der c't-Datenschutz-Podcast

1
Roboter, Datenschutz und Ethik 1:18:55

πριν 4 years1:18:55

1:18:55

Mit Iris Phan, Holger Bleich und Joerg Heidrich Mit Iris Phan haben Joerg und Holger eine Expertin an der Schnittstelle zwischen Technik, Recht und Philosophie in den Podcast eingeladen. Phan arbeitet als Juristin der Stabsstelle IT-Recht der Leibniz Universität Hannover und promoviert parallel zum Thema: "Künstliche Intelligenz: Rechtliche und ethische Implikationen am Beispiel des Sexroboters". In der Episode stellt sie zunächst dar, wie Roboter in der Medizin und Pflege, aber auch zur Erfüllung sexueller Bedürfnisse eingesetzt werden. Sowohl die Funktionen zum maschinellen Lernen und KI-Einsatz kommen zur Sprache, als auch die vielfältigen Sensoren, die in den Geräten verbaut sind und hoch sensible Daten erfassen. In der Regulierung ist diese Problematik noch nicht recht angekommen, meint Phan. Zumindest äußern sich Aufsichtsbehörden dazu noch nicht. Tatsächlich aber potenzieren sich in den Robotern Szenarien, die jeweils für sich schon für Skandale gesorgt haben, etwa die Aufzeichnung von Stimmen zur maschinellen Spracherkennung, nun kombiniert mit der Erfassung von Kamerabildern oder Körperaktivität. Phan plädiert für eine Debatte, die datenschutzrechtliche und ethische Aspekte einschließt. === Anzeige / Sponsorenhinweis === Sophos stoppt Cyberangriffe – mit einem kompletten Portfolio modernster Cybersecurity-Lösungen. Jetzt informieren unter www.sophos.de === Anzeige / Sponsorenhinweis Ende ===…

Auslegungssache – der c't-Datenschutz-Podcast

1
Wie entsteht eigentlich... eine DSGVO? 1:18:02

πριν 4 years1:18:02