Auslegungssache – der c't-Datenschutz-Podcast

• KI-Verordnung und Datenschutz - ein schwieriges Verhältnis

  Der KI-Verordnung der EU soll Künstliche Intelligenz und deren Einsatz umfassend regulieren. Doch wie passt dieses Gesetz zu den bestehenden Datenschutzregeln, insbesondere der Datenschutz-Grundverordnung (DSGVO)? In der aktuellen Folge des c't-Datenschutz-Podcasts diskutieren Holger und Joerg mit Prof. Dr. Rolf Schwartmann, dem Vorsitzenden der Gesellschaft für Datenschutz und Datensicherheit (GDD). Schwartmann weist zunächst die unterschiedlichen Ziele beider Regelwerke hin. Während die DSGVO klare Vorgaben für den Umgang mit personenbezogenen Daten macht, ist die KI-Verordnung eine Produktregulierung. Sie definiert, unter welchen Bedingungen Anbieter und Nutzer von KI-Systemen agieren dürfen. Beide Gesetze haben zwar den Schutz von Grundrechten im Blick, verfolgen aber gänzlich unterschiedliche Ansätze. Ein zentrales Problem sieht die Runde im Zusammenspiel der beiden Gesetze bei der generativen KI, also Systemen wie ChatGPT. Diese KI-Modelle sind grundsätzlich nicht zweckgebunden, sondern flexibel einsetzbar, was mit dem Grundsatz der Zweckbindung aus der DSGVO nur schwer vereinbar ist. Es bestehe die Gefahr, dass viele die KI rechtswidrig, aber sanktionslos einsetzen. Schwartmann betont, dass Nutzer generativer KI für Schäden durch falsche Ergebnisse haften könnten. Hinzu kommen Herausforderungen wie die automatisierte Entscheidungsfindung: Die DSGVO verbietet automatisierte Entscheidungen mit erheblichen rechtlichen Folgen oder wesentlichen Beeinträchtigungen, während die KI-Verordnung solche Systeme unter strengen Voraussetzungen durchaus erlaubt. Allerdings knüpft sie dies an umfangreiche Compliance-Pflichten. Die Diskussion offenbart, dass die KI-Verordnung nur wenige datenschutzrechtliche Ausnahmen enthält, beispielsweise bei der Nutzung sensibler Daten zur Korrektur von Verzerrungen in KI-Modellen oder in sogenannten Reallaboren, geschützten Testumgebungen für neue KI-Anwendungen. Heidrich kritisiert, dass der Gesetzgeber hier Chancen verpasst habe, grundlegende datenschutzrechtliche Konflikte bei der Nutzung moderner KI-Systeme zu regeln.

  --------  

  1:18:14
• Gesundheitsdaten sollen fließen

  In der aktuellen Episode steht der European Health Data Space (EHDS) im Fokus. Die EU-Verordnung zum einem gemeinsamen Gesundheitsdatenraum ist am 26. März in Kraft getreten und wird ab März 2027 schrittweise wirksam. Ziel des ambitionierten Projekts ist es, elektronische Gesundheitsdaten in ganz Europa einfacher zugänglich zu machen – sowohl für Patienten als auch für Ärzte, Forschung und Wirtschaft. Doch was bedeutet das konkret für den Schutz von sensiblen Patientendaten? Holger und Joerg haben dazu Rechtsanwältin Dr. Christina Schreiber eingeladen. Sie ist Spezialistin im Datenschutzrecht mit Schwerpunkt im Gesundheitswesen und erläutert die Hintergründe und Auswirkungen des EHDS. Laut Kristina bekommen Patienten künftig leichter Zugriff auf ihre medizinischen Daten und können diese digital auch für Ärzte im EU-Ausland zur Verfügung stellen. Einen zentralen Speicherort gibt es dabei nicht; die Daten bleiben dezentral in Arztpraxen und Kliniken gespeichert und werden nur bei Bedarf digital zusammengeführt. Ein wesentlicher Teil der Verordnung regelt die sogenannte Sekundärnutzung. So sollen Forscher, Behörden und auch Unternehmen Zugriff auf anonymisierte oder pseudonymisierte Gesundheitsdaten erhalten, um die medizinische Versorgung zu verbessern, neue Therapien zu entwickeln und Gesundheitssysteme effizienter zu gestalten. Eine unabhängige Behörde in jedem Mitgliedsstaat soll künftig prüfen, wer wann welche Daten zu welchen Zwecken verwenden darf – stets unter Berücksichtigung der DSGVO. Angesichts der ambitionierten Ziele sieht Kristina große Herausforderungen. Vor allem die technische Umsetzung sei komplex, und es brauche ausreichend Ressourcen, um die geplanten hohen Datenschutz- und Sicherheitsstandards in der Praxis zu erreichen. Hinzu kommen unterschiedliche nationale Regelungen: In Skandinavien etwa ist die Datenfreigabe für Gesundheitszwecke nahezu selbstverständlich, während Deutschland stärker auf individuelle Zustimmung setzt. Die Diskutanten sind sich einig: Die Idee hinter dem EHDS ist gut und wichtig, aber die Umsetzung bleibt eine Mammutaufgabe. Deutschland hinke bei der Digitalisierung im Gesundheitswesen ohnehin bereits weit hinterher. Die Hoffnung ist, dass der Druck aus Brüssel nun auch hierzulande endlich Bewegung in die Sache bringt.

  --------  

  1:09:02
• Kommt die große DSGVO-Reform?

  Die Datenschutz-Grundverordnung (DSGVO) könnte bald erstmals seit ihrer Einführung 2018 grundlegend überarbeitet werden. Anlass sind zunehmende Klagen über übermäßige Bürokratie, vor allem für kleine und mittlere Unternehmen sowie Vereine. Axel Voss, rechtspolitischer Sprecher der konservativen EVP-Fraktion im Europaparlament, hat dazu in einem LinkedIn-Posting ein dreistufiges Modell vorgeschlagen: eine abgespeckte "Mini-DSGVO" für kleinere Organisationen, eine normale DSGVO für mittlere Unternehmen und eine strengere "DSGVO Plus" für Unternehmen, deren Geschäftsmodell wesentlich auf der Verarbeitung personenbezogener Daten beruht. Überraschend: Der Datenschutzaktivist Max Schrems unterstützt diese Idee grundsätzlich. In der neuen Episode des c't-Datenschutz-Podcasts "Auslegungssache" sprechen Redakteur Holger Bleich und Justiziar Joerg Heidrich mit Prof. Dr. Rolf Schwartmann über die Vorschläge. Schwartmann ist Professor an der Technischen Hochschule Köln, Leiter der Kölner Forschungsstelle für Medienrecht, Vorsitzender der Gesellschaft für Datenschutz und Datensicherheit (GDD) und außerdem Host des Podcasts "DataAgenda". Alle drei Diskutanten begrüßen eine mögliche Entlastung kleiner Unternehmen und Vereine ausdrücklich. Gleichzeitig warnen sie jedoch davor, die Datenschutzpflichten allein an der Größe festzumachen. Gerade bei sensiblen Daten müssten auch kleinere Organisationen weiterhin hohe Standards erfüllen, so Schwartmann. Die genaue Ausgestaltung könnte komplex werden. Es gelte, Erleichterungen zu schaffen, ohne das Schutzniveau insgesamt abzusenken. Ein weiteres Problem sieht Heidrich in der mangelnden Einheitlichkeit der europäischen Datenschutzaufsicht. Die nationalen Behörden wenden die DSGVO sehr unterschiedlich an, was zu Rechtsunsicherheit führt. Eine stärkere Harmonisierung erscheint nötig, aber die Idee, Aufsichtskompetenz etwa an die EU-Kommission zu übertragen, stößt in der Episode auf Skepsis. Die Experten bevorzugen weiterhin unabhängige Datenschutzbehörden, mahnen aber eine bessere Abstimmung an. Auch in Deutschland wird über Änderungen diskutiert. So geht aus dem Sondierungspapier zur möglichen koalitionsbildung von CDU/CSU und SPD hervor, dass die Pflicht zur Bestellung eines Datenschutzbeauftragten bei kleinen Unternehmen entfallen beziehungsweise der Schwellwert dafür deutlich angehoben werden könnte. Schwartmann kritisiert das deutlich: Ein Datenschutzbeauftragter entlaste Unternehmen eher, statt sie zu belasten. Ein Wegfall würde bestehende Datenschutzpflichten nicht beseitigen, sondern den Unternehmen sogar direkte Risiken aufbürden. Zum Abschluss wagen Schwartmann und die Podcast-Hosts eine Prognose: Ja, die DSGVO werde wohl aufgemacht. Doch dass daraus eine umfangreiche Reform entsteht, halten sie für unwahrscheinlich. Zu groß sei die Gefahr, dass sich die unterschiedlichen Interessengruppen in komplizierten Verhandlungen verfangen – und am Ende nur kleine Anpassungen übrig bleiben.

  --------  

  1:10:09
• Teure Falle E-Mail?

  Diesmal werfen Holger und Joerg gemeinsam mit c't-Redakteur Sylvester Tremmel einen kritischen Blick auf ein umstrittenes Urteil des Oberlandesgerichts (OLG) Schleswig. Dieses Urteil verunsichert derzeit Unternehmen, die Rechnungen per E-Mail versenden. Konkret ging es um eine Rechnung über knapp 15.000 Euro, die ein Handwerker an seinen Kunden per unverschlüsselter E-Mail geschickt hatte. Angeblich unbemerkt wurde diese Rechnung manipuliert, sodass eine falsche Kontonummer zu sehen war. Der Kunde überwies deshalb die Rechnungssumme an Betrüger, und das Geld war weg. Das Gericht gab überraschend dem Kunden recht und entschied, dass der Handwerker die Rechnung hätte Ende-zu-Ende verschlüsseln müssen. So aber hafte er gemäß Art. 82 DSGVO für den entstandenen Schaden und habe keinen Anspruch Zahlung der Rechnung. Im Podcast zeigen sich die Experten fassungslos und üben deutliche Kritik am Urteil. Sylvester ist sich sicher, dass das Gericht technische Details offenbar nicht richtig verstanden hat: Es verwechsle Verschlüsselung mit Signatur. Während eine Ende-zu-Ende-Verschlüsselung den Inhalt einer E-Mail vor fremdem Zugriff schützt, stellt eine digitale Signatur sicher, dass die Nachricht unterwegs nicht verändert wird. Sylvester stellt klar: Verschlüsselung allein hätte den Betrug nicht zwingend verhindert, eine Signatur dagegen eher. Zudem funktioniert Ende-zu-Ende-Verschlüsselung nur, wenn beide Seiten – Sender und Empfänger – kooperieren und entsprechende Schlüssel austauschen. Auch Joerg hält das Urteil für problematisch. Das Gericht habe die DSGVO falsch angewendet, indem es den wirtschaftlichen Schaden mit der datenschutzrechtlichen Schutzbedürftigkeit personenbezogener Daten vermischte. Die Höhe einer Rechnung könne nicht automatisch bedeuten, dass personenbezogene Daten besonders schützenswert seien und deshalb zwingend Ende-zu-Ende verschlüsselt werden müssten. Im Podcast weisen die Experten darauf hin, dass andere Gerichte in vergleichbaren Fällen zu gegenteiligen Ergebnissen kommen. So entschied etwa das Landgericht Rostock, dass Unternehmen nicht automatisch für Manipulationen haften, wenn beide Seiten sich auf E-Mail als Kommunikationsweg geeinigt haben. Auch das Oberverwaltungsgericht Münster betonte kürzlich, dass eine einfache Transportverschlüsselung im Normalfall ausreichend sei. Am Ende gibt Sylvester praktische Empfehlungen: Unternehmen sollten zumindest Transportverschlüsselung nutzen und idealerweise digitale Signaturen einsetzen, um Manipulationen von E-Mails zu verhindern. Komplette Ende-zu-Ende-Verschlüsselung sei wünschenswert, aber in der Praxis oft schwierig umzusetzen. Vor allem aber solle man stets aufmerksam bleiben und bei überraschend geänderten Kontodaten lieber einmal zu viel als zu wenig nachfragen.

  --------  

  1:13:37
• Scherbenhaufen Beschäftigtendatenschutz

  Der Beschäftigtendatenschutz in Deutschland kommt nicht voran. Eigentlich sieht eine Öffnungsklausel in der DSGVO vor, dass die EU-Mitgliedsstaaten diesbezüglich mit nationalen Gesetzen das Recht ausgestalten dürfen. In Deutschland existiert aber bis dato nur der unspezifische Paragraf 26 BDSG und einige gleichlautende Vorschriften in Landesdatenschutzgesetzen. Seit mehr als zehn Jahren ist vorgesehen, ein eigenes Beschäftigtendatenschutzgesetz zu entwickeln. Auch die Ampelkoalition hatte sich ein solches in ihr Pflichtenheft für die Legislaturperiode geschrieben. Im Oktober 2024 legte sie schließlich einen Referentenentwurf vor. Dieser sah unter anderem klare Regeln zur Einwilligung von Arbeitnehmern, Überwachungsmaßnahmen durch den Arbeitgeber und Löschfristen für Beschäftigtendaten vor. Doch mit dem Scheitern der Ampel Anfang November wanderte dieser Entwurf direkt in die Tonne. Im c't-Datenschutz-Podcast diskutieren Joerg und Holger mit Rechtsanwalt Dr. Marc Störing die aktuelle Lage. Marc berät für die Kanzlei Osborne Clarke Unternehmen und Konzerne datenschutzrechtlich. In der Episode erläutert er fachkundig die Situation des europäischen Beschäftigtendatenschutzes und ordnet zwei wichtige Urteile des Europäischen Gerichtshofs (EuGH) aus den Jahren 2023 und 2024 dazu ein. Die Diskutanten sind sich einig, dass wenig Hoffnung auf eine baldige gesetzliche Regelung besteht. Ein Blick auf die Programme der Parteien zur Bundestagswahl zeigt, dass sich nur die SPD klar für ein Beschäftigtendatenschutzgesetz ausspricht. Angesichts der aktuellen Lage sei unwahrscheinlich, dass das Thema in einem möglichen Koalitionsvertrag eine Rolle spielen wird. Für Unternehmen und Beschäftigte bedeutet dies weiter ein hohes Maß an Rechtsunsicherheit. Viele praktische Fragen, etwa zur privaten Nutzung von Firmen-Mailkonten oder der Überwachung am Arbeitsplatz, bleiben in einer Grauzone. Marc, Joerg und Holger hoffen, dass die Politik das Thema Beschäftigtendatenschutz nicht auf die lange Bank schiebt. Nur ein detailliertes Gesetz könne für mehr Rechtssicherheit sorgen.

  --------  

  1:06:28

Weitere Technologie Podcasts

Trending Technologie Podcasts

Über Auslegungssache – der c't-Datenschutz-Podcast

Auslegungssache – der c't-Datenschutz-Podcast: Zugehörige Podcasts