Auslegungssache – der c't-Datenschutz-Podcast

Mit Nikolaus Bertermann, Holger Bleich und Joerg Heidrich

Seit der Coronapandemie gehören Videokonferenzen zum Arbeitsalltag. Systeme protokollieren mitunter, wer wann wie lange dabei war. Immer häufiger zeichnen Unternehmen ganze Meetings auf oder lassen eine KI Protokolle schreiben. In Episode 169 des c't-Datenschutz-Podcasts zeigen c't-Redakteur Holger Bleich und heise-Verlagsjustiziar Joerg Heidrich, dass dieses Alltagsthema jede Menge datenschutzrechtliche Fragen mit sich bringt.

Zu Gast ist Nikolaus Bertermann. Der Rechstanwalt arbeitete rund zehn Jahre als Justiziar eines großen europäischen Internetproviders und baute ab 2009 das IT- und Datenschutzteam der Kanzlei SKW Schwarz in Berlin auf. Seit 2011 betreut er als externer Datenschutzbeauftragter Unternehmen im In- und Ausland und führt Datenschutzaudits durch.

Zum Auftakt geht es um einen bizarren Fall aus Österreich. Eine Privatklinik übertrug Bilder aus ihren Operationssälen dauerhaft per Kamera, ohne die Patienten zu informieren oder um Erlaubnis zu fragen. Die österreichische Datenschutzbehörde verhängte dafür 63.800 Euro Bußgeld. Bertermann hält die Strafe wegen der fehlenden Information für richtig. Die Regeln in Art. 9 der DSGVO für Gesundheitsdaten und andere sensible Daten kritisiert er aber scharf: Sie verbiete Verarbeitungen so pauschal, dass Verantwortliche gar nicht erst abwägen könnten.

Dann kommen die drei zum Schwerpunkt der Episode. Wer ein Tool wie Teams oder Zoom einsetzt und zur Konferenz einlädt, trägt nach Bertermanns Einschätzung die Verantwortung im Sinne der DSGVO. Der Tool-Anbieter verarbeite die Daten lediglich in seinem Auftrag. Im Job brauchen Arbeitgeber Bertermann zufolge für eine gewöhnliche Videokonferenz keine Einwilligung der Beschäftigten. Sie können sich auf den Arbeitsvertrag oder ihr berechtigtes Interesse stützen.

Weil technisch fast jedes Tool Leistung und Verhalten kontrollieren könnte, muss aber ein vorhandener Betriebsrat mitbestimmen. Bei der Frage, ob Teilnehmer die Kamera einschalten müssen, lehnt Bertermann sowohl einen Zwang in jeder Lage als auch ein grundsätzliches Recht auf schwarze Kacheln ab. Es komme auf Zweck und Rahmen an. Beim Fernunterricht im Rahmen der Schulpflicht sagt er beispielsweise klar: Kamera an.

Kniffliger wird es beim Mitschneiden. Der Hinweis "Wer drinbleibt, willigt ein" ist für Bertermann keine wirksame Einwilligung. Er empfiehlt Unternehmen, ihre Interessen sauber abzuwägen, das schriftlich festzuhalten und die Teilnehmer vorab offen zu informieren. Das gelingt etwa über die Einladung, anpassbare Pop-up-Texte und verlinkte Datenschutzhinweise. Wer heimlich Screenshots macht und teilt, haftet selbst für mögliche Rechtsverletzungen. Und wer ohne Wissen der anderen ein Mikrofon danebenlegt, macht sich womöglich strafbar.

Auch KI-Transkripte zeichnen den Ton auf, zumindest für einige Sekunden. Dass die Anbieter behaupten, alles laufe "on the fly", ändert daran nichts. Damit greift das § 201 des Strafgesetzbuchs, der das nicht öffentlich gesprochene Wort schützt. Wer aber nach der DSGVO eine solide Rechtsggrundlage hat und vorher transparent informiert, macht sich nicht strafbar.

Zudem warnt die Runde davor, den Zusammenfassungen von Sprachmodellen blind zu vertrauen. Eine KI interpretiere Aussagen lediglich, statt ein fehlerfreies Wortprotokoll zu liefern. Am Ende bleibe die Nachkontrolle stets beim Menschen hängen, resümiert Bertermann: Wer ein automatisiertes Protokoll ungeprüft weiterleitet oder gar veröffentlicht, verantwortet auch dessen Fehler.

Mit Jo Bager, Sylvester Tremmel und Joerg Heidrich

Was braucht es, um einen Menschen im Internet zweifelsfrei zu erkennen? Darauf gibt es mehr Antworten, als vielen Nutzern lieb ist. In Episode 168 der Auslegungssache beschäftigen sich c’t-Justiziar Joerg Heidrich und seine Gäste mit den Möglichkeiten der Identifikation von Nutzern im Internet. Dafür hat Heidrich sich zwei c’t-Kollegen eingeladen: Jo Bager, Informatiker und seit fast 30 Jahren in der Redaktion, sowie Sylvester Tremmel, Co-Host des heise-Security-Podcasts „Passwort“ (https://www.heise.de/thema/Passwort_Podcast).

Zum Einstieg gibt es wie immer das Bußgeld der Woche: Die niederländische Aufsicht AP (https://www.autoriteitpersoonsgegevens.nl/en/current/uber-fined-nearly-825-million-euros-for-automated-driver-blocking) hat gegen Uber knapp 825 Millionen Euro (https://www.heise.de/news/Uber-825-Millionen-Euro-Strafe-fuer-zu-schnelles-Entscheiden-11422747.html) verhängt, weil der Fahrdienstvermittler Fahrerkonten jahrelang vollautomatisch sperrte, ohne dass dies durch einen Menschen überprüft wurde. Uber wehrt sich gegen diese Entscheidung, die eines der höchsten bislang in Europa verhängten Bußgelder darstellt.

Hauptthema des Podcast ist die Frage, wie Nutzer im Netz erkennbar sind. Rechtlich beginnt dabei alles beim Personenbezug. Nach der DSGVO genügt es, dass eine Person mittelbar identifizierbar ist, etwa über eine Online-Kennung. Klassischer Anknüpfungspunkt ist die IP-Adresse, seit einem Urteil des EuGH (https://www.heise.de/newsticker/meldung/BGH-bestaetigt-Dynamische-IP-Adressen-sind-personenbezogene-Daten-3714967.html) auch für Websitebetreiber ein personenbezogenes Datum. Ihre Aussagekraft und damit auch die Identifizierbarkeit sinkt allerdings durch die Nutzung von NAT, Mobilfunk und VPNs.

Im Tracking-Alltag, insbesondere im Rahmen von Werbung, spielen dagegen Cookies, Werbe-IDs und vor allem Logins die Hauptrolle. Accountkennungen, Single-Sign-on-Token oder gehashte E-Mail-Adressen verketten Geräte zuverlässiger als probabilistische Verfahren, wobei Hashing die Daten lediglich pseudonymisiert. Das Setzen und Auslesen solcher Kennungen im Endgerät ist nach § 25 TDDDG (https://www.gesetze-im-internet.de/ttdsg/__25.html) grundsätzlich einwilligungsbedürftig.

Ganz ohne explizite Kennung kommt das Browser- und Device-Fingerprinting aus. Es kombiniert User-Agent, Sprache, Auflösung, Zeitzone, Schriften, Renderingunterschiede bei Canvas, WebGL oder Audio und viele weitere Aspekte zu einem oft bemerkenswert eindeutigen Profil. Wie weit das geht, zeigt AliExpress (https://www.heise.de/news/AliExpress-trackt-Nutzer-via-unhoerbarem-Audio-Fingerprinting-11424127.html): Der Shop erzeugte über die Web Audio API ein unhörbares Signal und vermaß, wie Prozessor, Treiber und Browser es verarbeiten. Aufgefallen ist das nur, weil bei einem Entwickler die Bluetooth-Kopfhörer nicht mehr umschalteten, solange ein AliExpress-Tab offen war. Auch solches passives Auslesen fällt laut den europäischen Datenschutzbehörden (https://www.edpb.europa.eu/system/files/documents/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) unter die DSGVO und ist einwilligungsbedürftig.

Dass Fingerprinting boomt, liegt auch an Google (https://www.heise.de/news/Google-Device-Fingerprinting-ist-okay-10233355.html), das die Technik seit Anfang 2025 für Werbekunden erlaubt und zugleich Werbeblocker beschneidet (https://www.heise.de/news/uBlock-Origin-Die-Abschaltung-von-Manifest-V2-hat-begonnen-9985221.html). Schutz – mit variierender Effektivität – bieten Browser wie Firefox, Safari und Brave, die Gerätemerkmale vereinheitlichen oder verrauschen, sowie Filter im Heimnetz wie Pi-hole (https://www.heise.de/ratgeber/Adblocker-fuers-Netz-Starthilfe-und-Tipps-zu-Pi-hole-und-AdGuard-Hom

Mit Regina Mühlich, Holger Bleich und Joerg Heidrich

Datenschutz funktioniert nicht nur mit vollgeschriebenem Papier, das in der Schublade verschwindet. Unternehmen müssen festlegen, wer welche Aufgaben übernimmt, wie sie Daten schützen und wie Beschäftigte auf Anfragen oder Datenpannen reagieren. Ein Datenschutz-Management-System bündelt diese Regeln und Abläufe. Es sorgt dafür, dass alle Beteiligten wiederkehrende Aufgaben einheitlich und nachvollziehbar erledigen.

In Episode 167 der Auslegungssache sprechen c’t-Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich darüber mit Regina Mühlich. Die Wirtschaftsjuristin und Geschäftsführerin der AdOrga Solutions GmbH berät Unternehmen an der Schnittstelle von Organisation, Technik und Datenschutz. Sie betont: Fast jedes Unternehmen hält bereits irgendeine Form von Datenschutzorganisation vor. Die entscheidende Frage lautet, ob sie tatsächlich funktioniert.

Am Anfang stehen klare Zuständigkeiten. Geschäftsführung, Fachabteilungen. IT und Datenschutzbeauftragte müssen wissen, welche Aufgaben sie übernehmen. Je nach Größe und Geschäftsmodell kann ein interner Beauftragter, ein externer Dienstleister oder eine Mischform mit internen Ansprechpartnern sinnvoll sein. Gerade bei kleinen Unternehmen sollte sich der Aufwand am tatsächlichen Risiko orientieren. Wer etwa Finanz- oder Gesundheitsdaten verarbeitet, muss mehr investieren als ein Betrieb mit wenigen Kundendaten.

Anschließend braucht das Unternehmen einen Überblick über seine Datenverarbeitung: Welche Daten kommen herein, wer nutzt sie, an welche Dienstleister gehen sie und wann werden sie gelöscht? Auch Verträge mit Cloud-Anbietern, Steuerberatern und anderen Partnern gehören auf den Prüfstand. Auf dieser Grundlage lassen sich einfache Abläufe für Auskunftsanfragen, Datenpannen, neue IT-Systeme und die Entsorgung alter Geräte oder Unterlagen entwickeln. Dabei gilt: Ein kleiner Betrieb benötigt keine komplizierten Verfahren für seltene Fälle. Die Regeln müssen vor allem verständlich sein und im Alltag greifen.

Schulungen spielen dabei eine zentrale Rolle. Beschäftigte müssen erkennen, wenn jemand Auskunft verlangt, sich über Werbung beschwert oder ein Rechner auffällig reagiert. Solche Meldungen dürfen nicht in einzelnen Postfächern stecken bleiben. Ebenso wichtig sind regelmäßige Prüfungen. Unternehmen können etwa testen, ob Anfragen zuverlässig beim zuständigen Ansprechpartner landen oder ob ihre Übersicht über die Datenverarbeitung noch aktuell ist. Wie oft sie kontrollieren sollten, hängt vom Risiko und vom Tempo der Veränderungen ab.

Ein Audit beziehungsweise ein Zertifikat allein garantieren laut Mühlich noch keinen guten Datenschutz. Sie können aber helfen, Dokumente sauber zu verwalten und Entscheidungen nachzuweisen. Mühlichs Kernbotschaft lautet deshalb: Unternehmen sollten Datenschutz weder unnötig aufblasen noch vernachlässigen. Ein gutes Management-System passt zum Geschäftsmodell, verbessert sich laufend und schafft klare Abläufe, und damit auch Vertrauen bei Kunden und Beschäftigten.

Mit Thomas Rickert, Holger Bleich und Joerg Heidrich

Mit Alexander Golland, Holger Bleich und Joerg Heidrich

In Episode 165 nehmen Holger und Joerg mehrere aktuelle Entwicklungen im europäischen Datenschutz unter die Lupe. Zu Gast ist Prof. Alexander Golland, der seit August an der Hochschule Osnabrück zum Recht der Informationsgesellschaft, zum Datenschutz und zum Schutz geistigen Eigentums lehrt.

Zuerst geht es um ein Bußgeld der italienischen Datenschutzbehörde Garante gegen die US-Firma Character Technologies. Deren Chatbot-Plattform Character.AI erlaubt es Nutzern, mit virtuellen Charakteren zu kommunizieren, von Mafia-Bossen bis zu simulierten Psychotherapeuten. Die Behörde monierte intransparente Datenschutzhinweise, fehlende italienische Übersetzungen, unklare Rechtsgrundlagen und mangelhaften Jugendschutz. Mit 158.000 Euro fiel die Strafe angesichts massiver Vorwürfe und tragischer Fälle in den USA, bei denen Jugendliche nach Chatbot-Interaktionen Suizid begingen, aus Sicht der Diskutanten eher milde aus.

Ein weiteres zentrales Thema ist der transatlantische Datenverkehr. Der US Supreme Court hat entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) auch ohne schwerwiegende Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als unabhängige Behörde. Da die Handelsaufsicht eine Rolle im Data Privacy Framework (DPF) spielt, sorgte das für Aufregung.

Alexander beruhigt jedoch: Der Europäische Gerichtshof (EuGH) habe sich beim Kippen des Vorgänger-Abkommens Privacy Shield weniger an der FTC als am fehlenden Rechtsschutz gegen US-Geheimdienste gestört. Kritischer wäre es, würde auch das Privacy and Civil Liberties Oversight Board (PCLOB) als abhängig eingestuft. Unternehmen empfiehlt er dennoch, Standarddatenschutzklauseln als Fallback-Option vorzubereiten, allerdings mit aufschiebender Bedingung, um bestehende Haftungsregelungen nicht auszuhebeln.

Zwei aktuelle Entscheidungen des EuGH bringen einige Klarstellungen in Sachen DSGVO-Auslegung. Im Fall eines niedersächsischen Haustechnikbetriebs ging es um Daten aus einem privaten eBay-Konto, die möglicherweise auf unzulässigem Weg beschafft worden waren. Der EuGH schließt ihre Verwendung als Beweis nicht grundsätzlich aus. Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden dürfen und ob sie damit die Rechte der betroffenen Person zu stark verletzen.

Im zweiten Fall prüfte der EuGH eine öffentlich zugängliche Liste der österreichischen Anti-Doping-Agentur. Darin standen Namen, Sportarten, Verstöße und Sperrzeiten. Die bloße Information, dass jemand gedopt hat, gilt dem Urteil zufolge nicht automatisch als Gesundheitsinformation. Anders kann es aussehen, wenn die konkrete Substanz oder ihre Anwendung Rückschlüsse auf eine Erkrankung zulässt. Die Veröffentlichung kann zwar dem Schutz des fairen Sports dienen, muss aber angemessen bleiben und Besonderheiten einzelner Fälle berücksichtigen.

Zum Schluss fällt in der Podcast-Episode der Blick auf den geplanten "Digital-Omnibus", mit dem die EU ihre Datenschutz- und Digitalregeln vereinfachen will. Sinnvolle Vorschläge wie eine gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle treffen auf alte Konflikte um Cookies, personalisierte Werbung und Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten liegen bei zentralen Punkten auseinander. Alexander rechnet deshalb höchstens mit einem "Reförmchen", vorausgesetzt, die Verhandler Rat, Parlament und Kommission klammern die besonders umstrittenen Cookie-Regeln aus.

Mit Arne Semsrott, Holger Bleich und Joerg Heidrich

Meldung heise online: "Identifikationspflicht: Dobrindt will Informationsfreiheit faktisch stoppen"

Mit Daniela Will, Holger Bleich und Joerg Heidrich

Mit Tobias Keber, holger Bleich und Joerg Heidrich

In Episode 162 des c't-Datenschutz-Podcasts diskutieren Redakteur Holger Bleich und heise-Justiziar Joerg Heidrich mit Tobias Keber, dem Landesbeauftragten für den Datenschutz und Informationsfreiheit (LfDI) in Baden-Württemberg und aktuellen Vorsitzenden der Datenschutzkonferenz (DSK).

Zum Einstieg sprechen die drei über ein Bußgeld von 100.000 Euro gegen eine kroatische Immobilienagentur. Neben unzulässig lange gespeicherten Unterlagen beanstandete die Behörde unzureichende Datenschutzschulungen. Keber betont, dass Datenschutz nur wirksam sei, wenn Beschäftigte praxisnah und regelmäßig geschult würden. Ein reines "Wegklicken" von Online-Folien reiche nicht aus.

Zentrales Thema des Gesprächs ist der Schock über die Pläne der neuen baden-württembergischen Landesregierung, der Datenschutzbehörde 40 Prozent der Stellen zu streichen. Keber kritisiert dieses Vorhaben deutlich. Es passe nicht zusammen, dass der Staat und auch das Bundesland gleichzeitig polizeiliche Überwachungsbefugnisse und den Einsatz von Künstlicher Intelligenz massiv ausbaue, die Kontrollinstanzen im Gegenzug aber derart schwächen wolle.

Zusätzlich belaste eine enorme Beschwerdeflut die Behörde. Die Zahl der Eingaben stieg zuletzt um fast 90 Prozent auf über 7600 Fälle an. Keber führt dies vor allem auf KI-generierte Texte zurück. Da die Behörde jede Beschwerde zwingend bearbeiten muss, binde dies wertvolle Ressourcen, die an anderer Stelle – etwa bei der wichtigen Beratung von Unternehmen – schmerzlich fehlen.

Als Gegenentwurf zu Zentralisierungsbestrebungen haben die Landesdatenschutzbehörden auf der 111. Datenschutzkonferenz in Stuttgart einstimmig "Stuttgarter Impulse" verabschiedet. Die Bundesbeauftragte war nicht an Bord, weil sie hier andere Interessen verfolgt. Die Vorschläge reichen von einer gesetzlichen Verankerung der Datenschutzkonferenz über eine professionelle Geschäftsstelle bis zu verbindlichen Mehrheitsentscheidungen.

Geplant sind außerdem ein zentrales digitales Portal für Bürgeranfragen nach dem Prinzip "No Wrong Door", eine gemeinsame Entscheidungsdatenbank und das "Einer-für-alle-Prinzip", bei dem die Prüfung einer Behörde bundesweit gilt. Auch die beliebten Kurzpapiere sollen wiederbelebt werden, wie Keber im Gespräch verriet.

Mit Christoph Wegener, Sylvester Tremmel und Joerg Heidrich

Im c't-Datenschutz-Podcast geht es diesmal um ein Problem, das in Unternehmen täglich auftaucht: Personenbezogene Daten sollen gelöscht werden – stecken aber in Logs, Backups oder gesetzlich vorgeschriebenen Aufzeichnungen. Die Auflösung dieses Zielkonflikts ist ebenso herausfordernd wie praxisrelevant.

Das Recht auf Löschung ist das zentrale Betroffenenrecht in der DSGVO. In Episode 161 der Auslegungssache diskutieren heise-Justiziar Joerg Heidrich und c’t-Redakteur Sylvester Tremmel, der in dieser Folge Holger Bleich vertritt, über den Interessenkonflikt zwischen Löschaufforderungen und der Pflicht, bestimmte Daten aufzuheben. Fachkundiger Gast ist Dr. Christoph Wegener, Berater und Sachverständiger für Informationssicherheit und Datenschutz.

Das Thema der Folge führt tief in den Maschinenraum der Datenschutzpraxis: Ein Betroffener verlangt die Löschung seiner Daten. Diese Daten befinden sich aber in einem Sicherheitsprotokoll, das nach IT-Standards nicht nur unveränderbar sein soll, sondern auch über einen längeren Zeitraum aufbewahrt werden muss. Eine Norm verlangt also Löschung, die andere schützt gerade die unmodifizierte Erhaltung. Genau dieser Konflikt begegnet Unternehmen bei Webserver-Logs, Sicherheitsprotokollen, Backups, Compliance-Systemen, KI-Systemen und behördlichen Fachverfahren.

Ein Anlass für die Diskussion ist der Abschlussbericht des Europäischen Datenschutzausschusses zur koordinierten Durchsetzungsaktion 2025 zum Recht auf Löschung. 32 Aufsichtsbehörden werteten Antworten von 764 Verantwortlichen aus. Der Bericht benennt mehrere wiederkehrende Schwachstellen, darunter unklare Aufbewahrungsfristen, mangelhafte Verfahren für Löschanträge und besondere Schwierigkeiten bei Backups. Auch die Datenschutzkonferenz hebt diese Problemfelder hervor. Die Podcastfolge macht deutlich: Löschkonzepte werden künftig stärker in den Fokus der Aufsichtsbehörden rücken.

Besonders praxisrelevant sind Backups. In vielen Sicherungen lässt sich ein einzelner Datensatz technisch nicht sinnvoll entfernen, ohne die Integrität des gesamten Sicherungsbestands zu gefährden. Die Lösung kann deshalb nicht darin liegen, Sicherungen sofort physisch zu überschreiben. Entscheidend ist vielmehr, dass gelöschte Daten bei einer Wiederherstellung nicht unkontrolliert wieder in den Produktivbetrieb gelangen. Wer ein Backup zurückspielt, sollte also nachgelagerte Lösch- und Bereinigungsprozesse vorsehen.

Noch schärfer zeigt sich der Konflikt bei Logfiles. Sicherheitsprotokolle sind für Angriffserkennung, Fehlersuche und Nachvollziehbarkeit unverzichtbar. Zugleich enthalten Logs häufig personenbezogene Daten wie IP-Adressen oder sicherheitsrelevante Ereignisse. Datenschutzrechtlich sind sie deshalb nicht neutral. Sie benötigen eine Rechtsgrundlage, klare Zwecke, begrenzte Fristen und Zugriffsbeschränkungen.

Das Fazit der Folge: Der scheinbare Widerspruch zwischen Löschpflicht und Speicherzwang lässt sich nicht mit pauschalen Regeln lösen. Unternehmen müssen Aufbewahrungspflichten kartieren, Löschfristen festlegen, Zugriffe beschränken, Backups in ihre Prozesse einbeziehen und Logfiles technisch wie rechtlich sauber steuern. Das unveränderbare Backup bleibt dann nicht automatisch ein Datenschutzverstoß. Entscheidend ist, dass der Zweck begrenzt, die Verarbeitung eingeschränkt und eine Wiederverarbeitung gelöschter Daten zuverlässig verhindert wird.

Mit Holger Bleich und Joerg Heidrich