Liebe Leserinnen und Leser,
wieder neigt sich ein Datenschutzjahr dem Ende und die Feiertage rücken in greifbare Ferne. „Endlich!“ Das werden bestimmt nicht wenige von unseren Lesern und Leserinnen spätestens am 31.12.2020 um Mitternacht ausrufen. Dieses Jahr hat so viele, um es mit Rudi Völlers Worten zu sagen, Tiefpunkte und tiefere Tiefpunkte mit sich gebracht, dass man es gar nicht abwarten kann, 2020 mit Kusshand zu verabschieden. Neues Jahr, neues Glück sagt man doch so schön. Denn auch in der Datenschutzwelt überschlugen sich die Ereignisse. Monatlich wurde man in diesem Jahr vor einige neue Herausforderungen gestellt.
Der Inhalt im Überblick
Januar – Aller Anfang ist schwer …
Wir läuteten unsere Pre-Covid-19-Unschuld mit dennoch wichtigen Themen ein. Vor allem die Intransparenz der SCHUFA bereitete uns damals noch Kopfschmerzen, zu undurchsichtig sind die Score-Werte und ihre Berechnung. Seit Einführung der DSGVO sollte doch die SCHUFA ihren Algorithmus nach Art. 15 Abs. 1 lit. h DSGVO offenlegen müssen, oder? Falsch gedacht! Die SCHUFA schafft es noch immer, die Schlupflöcher der DSGVO geschickt auszunutzen und wird von dem BGH auch noch unterstützt.
Und was, wenn doch eine Pflicht zur Offenlegung bestünde? In einem Beitrag berichteten wir ausführlich, welche Anforderungen an eine Auskunftserteilung nach Art. 15 DSGVO zu stellen sind und weshalb ein definierter Prozess zur Einhaltung der Frist notwendig ist. Ob diese Pflicht auch jemals die SCHUFA treffen wird, ist noch ungewiss.
Auch im Bereich der Überwachung sorgte ein US-amerikanisches Startup namens ClearView mit einer Gesichtserkennungs-App für Schlagzeilen. Das Unternehmen macht seinen Kunden die größte Fotodatenbank zugänglich, zusammengestellt aus öffentlich zugänglichen Quellen wie unseren heißgeliebten Datenschutzsündern Facebook, Instagram und YouTube. Vorwiegend Strafverfolgungsbehörden sollen diese App nutzen, aber auch private Sicherheitsunternehmen zählen zu den Kunden ClearViews. Da fragen wir uns doch, was hier stärker gewichtet wird, der Schutz vor Kriminalität oder unsere Privatsphäre? Die Möglichkeit des Missbrauchs kann hier zumindest nicht abgestritten werden.
Wie eine böse Vorahnung kündigte der Gesundheitsminister Jens Spahn im Januar an, anonymisierte Gesundheitsdaten für die Gesundheitsforschung nutzen zu wollen und stellte uns vor die schwierige Frage: Datenschutz oder Krankheiten heilen? Die Entscheidung sollte nicht schwerfallen und durchaus ist das Vorantreiben der Gesundheitsforschung ein erstrebenswertes, sogar notwendiges Ziel. Doch nicht immer heiligt der Zweck die Mittel, zumindest nicht, wenn diese Mittel keine angemessenen Sicherheitsvorkehrungen vorsehen.
Februar – Turbulente 29 Tage
Auch 2020 ließ uns das EuGH-Urteil „Planet49“ zur Notwendigkeit einer aktiven Einwilligung für das Setzen von Cookies nicht in Ruhe. Unter anderem äußerte sich die dänische Aufsichtsbehörde zu Cookiebannern und lehnte die Nutzung von sog. Nudging-Lösungen (verschiedene Maßnahmen zur Einflussnahme auf den Nutzer) entschieden ab. Der Beginn einer Reihe verschiedener Stellungnahmen und Sanktionierungen durch Datenschutzbehörden für rechtswidrige Consent-Banner.
Digitalisierung in Deutschland: Mythos oder Wahrheit? Der Februar zeigte hier neue Bestrebungen in verschiedenster Hinsicht. „Alkolock“ heißt das technische Äquivalent zu guten Freunden, die einem die Autoschlüssel wegnehmen, wenn man zu tief ins Glas geschaut hat. Was aber beachtet werden muss, wenn die Daten beispielsweise durch einen Dienstwagen des Arbeitgebers verarbeitet werden, haben wir in einem Beitrag näher beleuchtet.
Für den Bildungsbereich hingegen veröffentlichte das Hamburger Institut für berufliche Bildung ein Merkblatt für die datenschutzkonforme Nutzung von IT-Tools und Software in Schulen. Sicherlich hilfreich, wenn es denn zumindest mal Geräte aus dem 21. Jahrhundert in den Schulen gäbe, um diese auch zu installieren.
Bei dem Februar denkt manch eine Person auch an den Valentinstag. Noch kein Date? Kein Problem, es gibt ja Tinder. Aber nehmen wir mal kurz die rosarote Brille ab und betrachten die populäre Dating-App Tinder durch die Datenschutzbrille.
Eine andere Nachricht ließ hingegen unser Datenschutzherz höher schlagen: Microsoft Office 365 soll deutschen Unternehmen die cloud-basierte Software über in Deutschland gehostete Server zur Verfügung stellen; ein Schritt in Richtung einer datenschutzgerechten Nutzung der Software. Jedoch bleibt zu bedenken, dass der Speicherort aufgrund des US Cloud Acts für den Zugriff auf von US-Unternehmen gespeicherte Daten irrelevant ist. Dies ist nun wichtiger denn je, infolge der Unvereinbarkeitserklärung des EuGHs im Schrems II-Urteil bezüglich des weitreichenden Zugriffs US-amerikanischer Geheimdienste auf Daten von EU-Bürgern mit deren Grundrechten.
März – Der Anfang vom Ende
Nur ein Thema beherrschte noch die Welt im März, und zwar … die saarländische Aufsichtsbehörde und Windows 10. In ihrem Tätigkeitsbericht wollte sich die saarländische Aufsichtsbehörde mit der Datenschutzkonformität von Windows 10 beschäftigen und kam zu dem Ergebnis: Eine datenschutzrechtliche Bewertung sei nicht möglich. Somit nahm sich die Datenschutzkonferenz dieses Problems an und untersuchte das Betriebssystem näher.
Natürlich war es vorrangig ein anderer Themenbereich, der die Welt in Atem hielt und es jetzt noch tut: Die Corona-Pandemie. Sie ließ uns wissen, dass das Homeoffice ja doch möglich sei, obwohl der Chef dies stets abstritt. Worauf Beschäftigte im Homeoffice aus datenschutzrechtlicher Sicht achten müssen, beleuchteten wir in einem Beitrag.
Neben den Herausforderungen im Homeoffice bot auch die Eindämmung des Virus einige Risiken im Beschäftigtendatenschutz. Obacht, die Verarbeitung von Gesundheitsdaten stellt eine sensible Verarbeitung nach Art. 9 DSGVO dar und ist daher besonders schutzbedürftig.
Auch erinnern wir uns an die zahlreichen Datenpannen, die uns währenddessen erheiterten, wie beispielsweise Boris Johnsons Tweet mit einem Foto der ersten virtuellen Kabinettssitzung … inklusive einsehbarer Benutzernamen. Wie man Pannen wie diese vermeidet, erzählten wir in Videokonferenz-Tools: Tipps zur Auswahl und Verwendung.
Apropos Datenpanne, von diesen berichtete auch der Tätigkeitsbericht des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD), aber im positiven Sinne: Eine steigende Sensibilisierung für Datenschutz hat auch einen Anstieg von Datenpannen zur Folge.
Hohe Sensibilisierung für Datenschutz sah man hingegen bei der Bucerius Law School nicht. Ohne eine wirksame Rechtsgrundlage überwachte die juristische Privathochschule die Studenten und Studentinnen während der Klausur per Videoüberwachung, um Täuschungsversuche zu unterbinden. Und diese Hochschule war leider kein Einzelfall.
Was für ein ereignisreicher Start in das Jahr 2020! Aber keine Sorge, es geht noch genauso spannend weiter: Der Jahresrückblick – Teil 2 steht schon in den Startlöchern.
