Von Bußgeld bis Kiss-Cam-Skandal

00:00:00: Hallo und herzlich willkommen in der Auslegungssache heute mit Episode 139.

00:00:22: Mein Name ist Horger Bleich, ich bin Redaktor bei CT, dem Magazin für Computertechnik, dass

00:00:27: auch diesen Podcast hier ermöglicht und produziert.

00:00:30: Wir zeichnen heute auf am 22.07.2025 und an meiner Seite befindet sich wie stets mein

00:00:44: sehr verehrter Mithoast Jörg und in der Mangelung eines anderen Gasters werde ich Jörg einfach

00:00:49: heute mal ein bisschen länger vorstellen, so wie er immer die Gäste vorstellt.

00:00:53: Du bist justizjahr bei Heise Medien, Heise Medien GmbH und Coca-G in Hannover, dem Heiseverlag.

00:01:08: Du bist dort auch Datenschutzbeauftragter für mehrere Webauftritte des Verlags, so viel

00:01:13: ich weiß.

00:01:14: Du bist aber auch Fachanwalt für IT-Rechte in Hannover, betreibst als Partner die Kanzlei

00:01:19: Heidrich Rechtsanwälte Partnerschaftsgesellschaft MbH mit.

00:01:23: Du bist zertifizierter KI-Manager, du bist zertifizierter Datenschutzauditor, du bist

00:01:29: Vorsitzender des Beschwerdausschusses Datenschutz des deutschen presserates, ich wusste übrigens

00:01:33: gar nicht, dass du Vorsitzender bist, du bist mit Autor des Buches Datenschutz und IT-Komplienz,

00:01:40: das Handbuch für Admins und IT-Leiter und natürlich bist du Autor vielerfach Artikel

00:01:45: und gerne für Vorträge auf Fachkonferenzen gebucht, soweit ich weiß, soweit ich das

00:01:50: beurteilen kann.

00:01:51: Und du bist ein großer großer Fan von KI, aber das wissen alle, die hier schon länger

00:01:54: zugehört haben.

00:01:55: Hallo Jörgs, freut mich sehr, dass du heute da bist.

00:01:58: Und KI und von Katzen, das hast du natürlich vergessen, falls es hier ein bisschen schnarcht,

00:02:04: dass das hier ein Kater, der hier neben mir liegt, aber ich glaube, das wird ausgefilft

00:02:07: hinterher.

00:02:08: Vielen Dank für die freundliche Begrüßung, ich freue mich sehr, hier zu sein.

00:02:11: Jörg, was hat dich denn zu IT gebracht?

00:02:13: Zulehung.

00:02:14: Das ist vielleicht tatsächlich eine ganz interessante Frage, was mich zum Daten- oder

00:02:20: zum IT-Recht gebracht hat.

00:02:21: Das war meine Mutter.

00:02:22: Ist ja schon immer für Computer und so interessiert, das war so Ende der 90er, es ist schon ein

00:02:30: Weichen her und dann hat sie in der Zeitung einen Artikel gelesen über diesen Rechtsanwalt

00:02:36: in Düsseldorf, der damals gelebt, der so als einer, der erst einen IT-Recht gemacht

00:02:41: hat.

00:02:42: Und dann meinte er sich so, das ist doch vielleicht doch was für dich.

00:02:45: Und dann habe ich den gesuchten, mich da beworben und er hat mich dann auch genommen und dann

00:02:50: so habe ich angefangen, mich mit IT-Rechten zu beschäftigen.

00:02:52: Also eigentlich ein zimtiger Zufall, sonst wäre ich wahrscheinlich ein ganzes Strafverteidigung

00:02:56: oder so was.

00:02:57: Meinst du, aber im Moment sagst du doch immer, straffrecht interessiere dich gar nicht so,

00:03:00: ne?

00:03:01: Ja, das interessiert mich schon, also öffentliche Rechte interessiert mich recht gesagt nicht

00:03:04: so sehr, aber ich weiß nicht, das war damals jedenfalls der Plan und dann kam mir dieses

00:03:09: IT-Recht dazwischen.

00:03:10: Ist auch schon, will ich gar nicht sagen, 7, 27 Jahre her, der Zeit vergeht, wenn man Spaß

00:03:20: hat.

00:03:21: Genau.

00:03:22: Genau.

00:03:23: Das ist ja auch unser Thema.

00:03:24: Genau.

00:03:25: Jetzt, womit starten wir heute?

00:03:26: Wir sind heute nur zu zweit.

00:03:27: Wir machen heute nur zu zweit.

00:03:29: Wir machen jetzt noch mal Pause, reiten mal ein bisschen durch die Themen, die unsere

00:03:33: bewegt haben.

00:03:34: Die letzten zwei Wochen ist ja vielleicht auch mal ganz interessant, dass wir heute mal nicht

00:03:36: ganz monothematisch unterwegs sind, aber wir starten natürlich mit dem obligaturschen

00:03:42: Bußgeld der Woche.

00:03:44: Das können wir uns natürlich an dieser Stelle nicht entgehen lassen und unser Bußgeld der

00:03:50: Woche kommt heute aus Italien und es hat getroffen die Autostrade per L'Italia SPA.

00:04:00: Es ist vermutlich irgendwas mit Autostraßen, kann aber auch kein Italienisch.

00:04:04: Das Bußgeld ist relativ frisch, mal Ende Mai 25 und das geht um Artikel 5, Grundsatz für

00:04:13: die Verarbeitung und Artikel 6, Rechtmäßigkeit der Verarbeitung.

00:04:17: Was war passiert?

00:04:18: Die italienische Aufsichtsbehörde, die Garante, folgte der Beschwerde einer Mitarbeiterin,

00:04:25: die die Verwendung von Inhalten aus ihrem Facebook-Pofil und privaten Chats auf Messenger

00:04:30: und WhatsApp durch das Unternehmen, also diese Autostrade, gemeldet hatte und diese Inhalte

00:04:37: waren von dem Unternehmen verwendet worden, um ein Disziplinarverfahren gegen diese Beschwerdeführerin

00:04:43: zu rechthörtigen und die Beschwerde hat außerdem Hinweise auf Inhalte enthalten, die, also insbesondere

00:04:52: aus dem WhatsApp-Profil geteilt wurden, dann wahrscheinlich von anderen Mitarbeitern und

00:04:59: die Bägerin oder die Beschwerdeführerin wirft dem Unternehmen eine unrechtmäßige Verarbeitung

00:05:06: ihrer Daten vor und insbesondere eine unzulässige Verwendung personenbezogener Daten aus Nachrichten

00:05:13: und WhatsApp-Messenger konnten sowie aus ihrem Facebook-Profil und das sieht die Garante ganz

00:05:20: ähnlich und weist darauf hin, dass das Unternehmen von der Verwendung dieser Daten hätte absehen

00:05:28: müssen und zwar spätestens dann, soweit der private Charakter der Gespräche und Kommentare

00:05:33: offensichtlich wurde und das war hier wohl der Fall. Wir haben leider nicht, auch wenn

00:05:39: die Unterlagen uns im Italienischen, also ich hab TPT auf die Unterlagen im Italienischen

00:05:44: schauen lassen, da ist dann leider auch nicht genau drin, worum es hier geht, aber welche

00:05:49: Inhalte das waren, aber es waren natürlich, wenn es Sachen aus WhatsApp und Messenger waren,

00:05:53: definitiv nicht private Inhalte und Inhalte auf Facebook, das ist das, was wir aussetzen können.

00:05:58: Und die Garante sagt diese Verwendung, diese Information verstieß gegen die DSGVO und zwar

00:06:05: in Form der festgewehten Grundsitz der Rechtmäßigkeit, des Zwecks und der Datenminimierung und das

00:06:12: finden wir besonders interessant, haben wir im Vorgespräch drüber gesprochen heute und ich,

00:06:16: die Behörde, wie es daraufhin, dass personenbezogene Daten, die in sozialen Netzwerken vorhanden

00:06:22: oder auf andere Art und Weise online zugänglich sind, nicht frei und für jeden Zweck verwendet

00:06:28: werden können, nur weil sie für ein mehr oder weniger breites Publikum sichtbar sind.

00:06:34: Find ich interessant, kann man drüber diskutieren, würde ich sagen. Ansonsten wurde hier dann nochmal

00:06:40: auf den Zweckbindungsgrundsatz abgehoben und man sagt eben dieses sei für private Zwecke,

00:06:47: Wartekommunikationskanal, Kanäle. Und das Ergebnis war ein Bußgeld in Höhe von hier 120.000 Euro,

00:06:56: also ziemlich weit oben, so finde ich jetzt nicht so wenig. Autostrada, irgendetwas ist

00:07:01: vermutlich mal nicht so ganz klein, wenn das das ist, was wir denken. Aber nichtsdestotrotz,

00:07:06: ein relativ hohes Bußgeld. Wir haben Zweifel, oder? Also ich habe keine Zweifel, dass das nicht

00:07:13: irgendwelche Sachen aus privaten Chats veröffentlicht werden oder verwendet werden dürfen. Wenn die

00:07:18: sich aber, und das muss es hier gewesen sein, zum Beispiel auf Facebook, über das Unternehmen

00:07:22: äußert, die wird sich da ja nicht über Fußball oder so geäußert haben, dann finde ich das schon

00:07:26: relevant und dann würde ich auch nicht sagen, dass das gegen den Zweckbindungsgrundsatz verstößt,

00:07:31: das im Rahmen von Disziplinarverfahren zu verwenden. Es muss ja nicht mal sein, dass sich über das

00:07:37: Unternehmen, wenn es ein Disziplinarverfahren war, könnte ja auch sein, dass es sich politisch

00:07:43: anstößig geäußert hat oder keine Ahnung, was da alles, was da, kann ja auch Fußball-Ultra sein

00:07:49: und sich unflädig oder rassistisch geäußert haben. Ich habe keine Ahnung. Nur, also wenn in dem

00:07:55: Moment finde ich, wo es wirklich öffentlich verfügbare Postings sind, und ich so verstehe

00:07:59: ich diese Mitteilung hier, dann finde ich das mit der Zweckbindung aber äußerst schwierig. Was ist

00:08:04: denn dann mit, dürfen dann, der ewigstrittige Fall, dürfen dann Personaler bei Bewerbungen

00:08:11: vorher sich im Bild machen auf in öffentlich zugänglichen Quellen und Profilerstellen,

00:08:15: über einen Bewerber, was er so online schreibt, zum Beispiel? Da hat die Herrscher Mannung, nein.

00:08:20: Gut, aber das würde ja dann dieser Linie entsprechen, weil das eine Zweckentfremdung wäre. Also es

00:08:29: entspricht halt nicht der Absicht, die der Nutzer hatte, also das Posting abgesetzt hat,

00:08:33: dass es so verwendet wird. Kann man vielleicht zu sehen, aber finde ich schon sehr eng. Also ich

00:08:38: bin ja immer so ein bisschen der Meinung, wer sich in sozialen Netzwerken rumtreibt und ich meine,

00:08:43: da kannst du weitergehen, kannst du sagen, kannst du Influencer posten, ihre Postings nur

00:08:49: zum Zweck des Influencing, wenn es zu irgendwelchen anderen Zwecken benutzt wird oder keine Ahnung,

00:08:53: dann wird es auch schwierig und so. Also wer sich in die Öffentlichkeit begibt mit dem Posting,

00:08:58: finde ich, der muss aber auch damit rechnen, dass ein Posting rezipiert und in vielleicht auch

00:09:04: einem anderen Zusammenhang genutzt wird oder also ich weiß nicht, da bin ich ein bisschen, finde ich

00:09:09: ein bisschen zu eng gesehen. Ja, also ich glaube eigentlich sind für uns Zeckding und Grundsatz

00:09:13: passt hier für die privaten Kommunikationskanäle. Ja, also das ist ja was komplett anderes klar.

00:09:22: Also wenn du zum Nehmen wir mal an, das ist eine geschlossene Facebook Messengergruppe oder

00:09:27: eine WhatsApp-Gruppe, dann gelten da völlig andere Bedingungen, finde ich, als wenn du dann kannst

00:09:32: du nicht damit rechnen, dass das zu so einem Zwang oder zu so einem Zweck wie nach späteren

00:09:37: Disziplinarmaßnahme rausgetragen wird und eine Personalabteilung gerät oder so, finde ich.

00:09:44: Ja, trotzdem auch mir mal Advokates Diaboli zu spielen, wenn der Dat oder die da Unternehmensdetails

00:09:54: verrät, vielleicht Unternehmensgeheimnisse, Beleidigung, andere Mitarbeiter. Also Unternehmensgeheimnisse

00:10:00: wäre das dann Datenschutz? Also nee, das kommen wir da nicht in einen ganz anderen Bereich.

00:10:04: Ja, wenn ich da sozusagen mal, kann man ja auch in Richtung Datenschutz,

00:10:09: das geht ja nicht um den Inhalt um Datenschutz, was sie gesagt hat, sondern es geht die Tatsache

00:10:16: auch, wie man die Äußerungen verwenden kann, die ja dann auf jeden Fall personenbezogen sind.

00:10:20: Personenbezogen, die die Person sich selber geäußert hat. Ja, ich glaube, das sind wir schon

00:10:26: eigentlich. Ja, also ich weiß nicht, wahrscheinlich müsste man dann wirklich den Beschluss nochmal

00:10:31: komplett im Volltext auseinandernehmen und analysieren zu gucken, um deren Argumentation

00:10:36: komplett zu verstehen. Vielleicht haben wir auch nicht alles irgendwie erfasst. Aber so wie

00:10:40: sie es jetzt hier darstellt, aus deren Pressemitteilung und aus deiner Jetcheap in die Analyse,

00:10:45: hätte ich da groß, also finde ich es ein bisschen, habe ich ein Störgefühl, sagen wir es mal sagen.

00:10:51: Ja, also ich habe es mir sogar besetzen lassen, aber ich habe nichts da im Detail gefunden,

00:10:55: weil ich fand, das ist ja schon ganz spannend, die Idee entspannend. Und 420.000 ist in Ordnung,

00:11:00: man kennt den Umsatz nicht. Ich meine, man muss immer dazusagen, dass der geschädigte,

00:11:04: die mal nicht geschädigte, davon jetzt erstmal nichts hat. Das geht ja dann zur Behörde,

00:11:10: das Bußgeld, bzw. ich weiß nicht, wie es in Italien ist, ich glaube dann auch an den Start.

00:11:16: Aber natürlich könnte ich mir vorstellen, Jörg, dass wenn man dann nach, dann eventuell eine

00:11:22: Chansersatzlage anstrengt oder so, dass man dann wahrscheinlich mit so einer Entscheidung

00:11:26: rücken, der Landschutzbehörde, bessere Karten hätte vorgerichtet. Ja, auf jeden Fall, klar. Da

00:11:31: erweit mir viel bessere Karten und da kommt dann auch, glaube ich, genannte Null dran. Und

00:11:35: egal von Null dran reden, schöner Übergang. Es gab diese Woche ein oder in diesen Wochen ein

00:11:42: interessantes Urteil, das glaube ich die ganze Datenschutz-Community zumindest mal hatte ein

00:11:46: bisschen aufschreien lassen. Nee, aber zumindest genau hinzuschauen. Wir haben ja ganz viele

00:11:53: Urteile und auch ganz viele Urteile von Ohrengerichten inzwischen in Sachen Facebook. Da ging es

00:12:01: viel um die Facebook-League, Hauptsache ging es um die Facebook-League und jetzt gibt es hier

00:12:06: einen Urteil, da gab es aber auch schon vorher welche, wo es um die Facebook-Business-Tools

00:12:12: geht. Jörg, kannst du mal erklären, was die Facebook-Business-Tools sind oder was die hier

00:12:17: runter zumindest verstanden haben? Das sind zum Beispiel Social Plugins oder kleine Webpixels,

00:12:24: was auch immer, das sind zumindest Werkzeuge, mit denen du als Website-Betreiber deinen Erfolg

00:12:31: bei Facebook auf deiner eigenen Website messen kannst. Das heißt du kannst den Traffic von

00:12:35: und zu Facebook zum Beispiel messen, also wie viele Leute kommen gehen von deiner Webseite

00:12:41: zu Facebook und umgekehrt. Das Entscheidende ist, Facebook kriegt also mit, wer auf deiner

00:12:47: Seite zu Besuch ist und woher er kommt und wohin er geht. Das heißt Facebook hat ein

00:12:51: Tracking-Werkzeug für außerhalb von Facebook oder entsprechend Instagram hat ein Tracking-Werkzeug

00:12:57: für außerhalb von Instagram, weil da funktioniert es ganz genauso. Das führt dazu, dass viele

00:13:02: dann schon von so, von einem erheblichen Ausmaß das Überwachungskapitalismus sprechen, weil

00:13:07: normalerweise ist es ja so, wenn du auf Plattformen bist, wirst du überwacht, ist klar, vor allem

00:13:13: wenn du eingelockt bist, wirst du nochmal doppelt überwacht, wenn du aber außerhalb

00:13:17: bist und nicht eingelockt bist und trotzdem überwacht wirst, außerhalb ist der Plattform

00:13:21: selbst, dann ist es natürlich schon sehr, sehr raumgreifend und da hat Facebook natürlich

00:13:25: mehr Instrumente, die weit über die eigenen Plattformen ausgehen und die werden auch genutzt,

00:13:30: um Nutzer zu checken, um Profile zu erstellen und in Ziegerechte der Werbung auszuspielen,

00:13:35: wenn sie auf der Plattform sind.

00:13:36: Genau, und für die Unternehmen, die das verwenden, hat das den Vorteil, dass sie zum Beispiel

00:13:42: sehen, ob ihre Werbung, die sie auf Facebook schalten, konvertiert.

00:13:44: Konvertiert?

00:13:45: Ganz genau.

00:13:46: Konvertiert?

00:13:47: Konvertiert.

00:13:48: Konvertiert.

00:13:49: Konvertiert.

00:13:50: Nicht konvertiert.

00:13:51: Konvertiert.

00:13:52: Konvertiert.

00:13:53: Ja.

00:13:54: Gut, darum ging es hier, also konkret auf Facebook Pixel insbesondere, Social Plaggerns

00:13:59: und das ganze, das habe ich gar nicht gesagt, war vor dem Landgericht Leipzig, beklagte,

00:14:11: Klecker war ein Facebook-Nutzer, beklagte war Meta Irland als Betreiberin und das Gericht

00:14:20: hat hier ein Zeichen gesetzt, ich glaube anders kann man das nicht interpretieren und hat

00:14:24: dem Läger mal eben 5.000 Euro Schadensersatz zugesprochen.

00:14:30: Was hat er denn für einen Schaden gelten gemacht?

00:14:32: Das ist wirklich viel, wenn man sich die sonstigen DSGVO Schadensersätze anschaut,

00:14:38: auch für verharte Dinge, so irgendwie deine komplette Gesundheitshistorie wird versehentlich

00:14:43: an irgendwer verschickt oder so, da kommst du meistens nicht mal auf 5.000 Euro, also

00:14:48: das ist wirklich, wirklich viel.

00:14:51: Was waren die Entscheidungsgründe?

00:14:53: Das Gericht sah in dieser von Facebook durchgeführten systematischen Erhebung und Nutzung der personenbezogenen

00:15:01: Daten einen schwerwiegenden Verstoß gegen die DSGVO, jeder Facebook-Nutzer sei für

00:15:07: Meta jederzeit individuell erkennbar und er werde deswegen praktisch rund um die Uhr

00:15:14: überwacht.

00:15:15: Und diese Datenverarbeitung erfolge zudem ohnehin reichende Transparenz, es gibt keine

00:15:21: Rechtsgrundlage, insbesondere keine Einwilligung der Betroffenen und Bemerkenswert ist hier

00:15:27: halt die Schadenshöhe, denn das Gericht hat diese Schadenshöhe eben gerade nicht an einem

00:15:35: konkret nachweisbaren individuellen Schaden festgemacht, sondern hat stellvertretend

00:15:40: auf den Durchschnittsnutzer abgestellt, also allgemeine Betroffenheit des aufmerksamen

00:15:45: und verständigen Durchschnittsbetroffenen und es reichte, dass dieser ein Überwachungsgefühl

00:15:52: hatte und dass er das Gefühl hatte, dass sein Privatleben überwacht und ausgewertet

00:16:01: wird.

00:16:02: Und natürlich eine Mord-Signalwirkung, also die Kammer hat hier, ich glaube wollte mal

00:16:10: so richtig auf den Tisch schauen und wollte eben deutliche Sanktionen machen, um auch ein

00:16:16: klares Signal zu setzen.

00:16:18: Das haben wir ja auch noch gesagt.

00:16:21: Das ist schon gelungen, ja und noch einen Satz aus dem Urteil oder ein paar zwei Sätze

00:16:28: aus dem Urteil, diese Daten sendet Metairland ausnahmslos weltweit in Drittstaaten ins

00:16:34: Grunde in die USA, dort wertet sie die Daten für den Nutzer unbekannte Maß aus, das

00:16:40: werde ich auch unterschreiben, das gesamte Privatleben des Nutzers wird überwacht,

00:16:47: das wird jetzt nicht unterschreiben, würde ich auch nicht so unterschreiben, also es

00:16:58: wissen, der Fall ist alt, der Fall ist bekannt und dass es diese Business-Tool gibt und dass

00:17:03: es die Überwachung von Nutzern oder checking von Nutzern aus auf Facebook gibt, das ist

00:17:07: nun wirklich auch nicht neu, also der Anwalt der das erstritten hat, hat seine Meldung

00:17:14: dazu überschrieben mit Meta-LG Leipzig der Überwachungsskandal und dem kann ich nicht

00:17:19: so ganz folgen, also das ist jetzt der neue große Überwachungsskandal ist, also wir berichten

00:17:24: darüber seit zig Jahren, dass das genau so abläuft, natürlich ist es, wenn das Gericht

00:17:29: sich jetzt neu damit beschäftigt hat, wird es wahrscheinlich überrascht gewesen sein,

00:17:33: wenn es bis dato davon noch nichts gehört hat, aber ob das dann, ich meine das Gericht

00:17:38: muss ja einkalkulieren in seine Entscheidung, dass davon so gute jeder Web-Nutzer in Deutschland

00:17:45: betroffen ist und wenn sie das jetzt hochrechnen, diese 5000 Euro auf sagen wir mal 10 Millionen

00:17:52: Klagen in Deutschland, dann wird es aber happig mit Meta, ich glaube schon das war ein Meta

00:17:56: da so ticken, gut Meta ist gerade auf 8 Milliarden Schaden, der hat es in den USA verklagt,

00:18:01: das sind dann nochmal andere Summen, aber da können sie ohne weiteres hier auch in den

00:18:05: Bereich kommen, wenn die anderen Gerichte genauso entscheiden, wobei ich das nicht glaube,

00:18:08: oder?

00:18:09: Also das ist ja schon ziemlich ausreißer und ich finde auch, ich finde, ich wäre persönlich

00:18:15: zu hoch, muss ich ehrlich gesagt sagen, also natürlich können sein, dass es ein Großteil

00:18:19: von deinem Online-Verhalten ist.

00:18:21: Also ich kann mir vorstellen, sagen wir mal so, in diesem Facebook Scraping-Fall, den

00:18:26: du vorhin erwähnt hast, der von BGH gelandet ist und dort entschieden wurde, da der BGH

00:18:33: ja gesagt, dass er da 100 Euro, hat ja diese konkrete Zahl genannt, 100 Euro für einen

00:18:38: angemessenen Schadenersatz zum Erhält in dem Fall, wahrscheinlich sind die davon jetzt

00:18:43: ausgegangen und haben gesagt, das hier ist ja ungleich härter als das beim Scraping-Fall,

00:18:48: da ging es vielleicht mal darum, dass irgendwie aus Versehen durch eine falsche Einstellung

00:18:52: eine Telefonnummer von Nutzern gelegt wurde oder sowas und dann in irgendwelchen dubiosen

00:18:55: Quellen aufgetaucht ist, dass es wahrscheinlich, haben die nicht als so schwer bewertet, als

00:18:59: dass Facebook willendlich und wissendlich irgendwie Nutzer über Webseiten hinweg treckt

00:19:04: und um über sie Profile zu bilden, wahrscheinlich sehen sie da irgendwie, na ja gut, 50 mal

00:19:12: höher, ne?

00:19:13: Schon ordentlich.

00:19:14: Ja, das andere, was mir ein bisschen aufstößt, ist diese, die Frage, was für einen Schaden

00:19:22: der Betroffene darunter hatte, also natürlich reichten auch.

00:19:25: Das ist doch ein reingefühliges Ding hier, so wie ich das gerede.

00:19:28: Das ist ein total gefühliges Ding, ja, also die BGH-Sprechung empfinde ich da als total

00:19:33: sich widersprechen, da steht dann irgendwie gesagt, ja, ich muss es nicht krank, okay,

00:19:36: nachweisend muss es aber schon irgendwie verhandeln sein und das ist mir ein bisschen

00:19:42: wenig.

00:19:43: Ja, und hier reicht das Gefühl und so, du hattest es, glaube ich, vorhin gesagt, ich

00:19:47: weiß nicht ganz, ne, damit nicht mehr ganz genau, die haben ja auch gleich gesagt, sie

00:19:51: haben darauf verzichtet, überhaupt den Geschädigten anzuhören, weil das hat das Gericht in der

00:19:59: Pressemitteilung gesehen.

00:20:00: Ja, okay.

00:20:01: Genau, sie haben den, also sie haben den gar nicht angehört, weil sie gesagt haben, das

00:20:05: ist ja klar.

00:20:06: So, und da werden wir, daraus werden, aus der Anhörung werden wir keine neuen Erkenntnisse

00:20:10: bekommen.

00:20:11: Das heißt, sie wollten von ihnen überhaupt kein Nachweis haben, das Schadens.

00:20:13: Ja, also ich kenne die Materiellen schon gar nicht, aber auch die wollen den immateriellen

00:20:17: Schaden auch nicht geschildert haben oder so.

00:20:18: Ja, also ich kenne das aus ganz vielen anderen Verhandlungen, wo dann halt die drauf noch

00:20:22: vorgeladen werden und die Gerichte dann zum Teil ziemlich hart auch angehen, um halt zu

00:20:25: sagen, na ja, wir sind in den konkreten Folgen, dann kommt so das übliche nicht, ich habe

00:20:30: viel mehr Spam mehr zu bekommen, ich habe Telefonanrufe bekommen, ich kann da nicht mehr schlafen.

00:20:33: Was man halt so sagt, würde ich ja auch an der Stelle tun, aber na ja.

00:20:38: Sag mal, wirst du dir eigentlich schon was zur Rechtskraft?

00:20:40: Nee, ne?

00:20:41: Nee?

00:20:42: Ich kann mir ja nicht vorstellen, dass Facebook das so stehen lässt.

00:20:46: Nee.

00:20:47: Also ich bin mir 100% sicher, dass Facebook das nicht so stehen lässt, das wäre wirklich

00:20:51: gefährlich auch für die.

00:20:52: Ich habe nur auch noch nichts dazu gelesen, also mal gucken.

00:20:55: Nee, weiß ich auch nicht.

00:20:56: Ich habe sogar auch selbst Internet gefragt, sollte man, ich mache es noch mal nächste

00:20:59: Woche, ich frag den da.

00:21:00: Ja, die werden das nicht stehen, das kann ich mir nicht vorstellen.

00:21:03: Ja, also skurriles Urteil in der Höhe finde ich auch ein bisschen.

00:21:08: Sehr hoch ins Regal gegriffen, hoch ins Regal gegriffen hat Microsoft, in dem sie haben

00:21:15: sagen lassen, dass es überhaupt keine amerikanische Überwachung auf in Europa gehosteten, auf

00:21:23: in Europa gehostete Daten gibt und muss man so ein bisschen zurück rudern, was Dichhorga

00:21:27: einigermaßen erzurent hat.

00:21:28: Na ja, es war nicht überraschend, aber ich hatte vor einiger Zeit mal ein CT in Artikel

00:21:34: geschrieben, wo ich auch ein bisschen diese EU Boundary beschrieben habe, also Microsoft

00:21:39: hat größte Anstrengungen genommen, auch aufgrund der ganzen Skepsis von europäischen Kunden,

00:21:45: die ja auch angebracht ist, dass eben der amerikanische Staat Durchgriff auf zum Beispiel

00:21:52: auf Geschäftsgeheimnisse oder private Sachen von europäischen Unternehmen haben könnte.

00:21:57: Und das haben sie gesagt, wir unternehmen alles, das zu verhindern.

00:22:01: Wir bauen eine Datengrenze, eine Data Boundary zwischen USA und Europa und da, die ist undurchlässig,

00:22:08: da passiert nichts.

00:22:09: Also haben alle Daten nach Europa gezogen, die von europäischen Tendenz, also von europäischen

00:22:14: Geschäftspartnern in der Azure Cloud gehostet werden.

00:22:17: Alles Exchange, Microsoft 365 ist alles, liegt alles in Europa angeblich ohne Zugriff des

00:22:26: US-amerikanischen Staates, seiner Behörden, zum Beispiel Strafverfolgungsbehörden oder

00:22:30: auch Geheimdienste oder sonst irgendwas, das sei schon alles gut.

00:22:35: Und das sei man komplett DSG/EVO-konform, weil man sich komplett auch diesem angemessenheitsbeschluss

00:22:41: gebeugt hat und alle US, alle deutschen Unternehmen, europäischen Unternehmen können sich sicher

00:22:48: sein.

00:22:49: Ich hatte da schon große Zweifel, weil es gab auch schon Äußerungen von Technikern

00:22:53: von Microsoft, die gesagt haben, na ja, in ganz bestimmten, unter ganz bestimmten Umständen

00:22:57: kann es schon sein, dass Microsoft Redmond, weil da bestimmte Teile der IT liegen, doch

00:23:03: durch Griffsmöglichkeiten hat, aber das müssten dann die Europäer extra genehmigen und so,

00:23:08: aber das sind dann wieder Compliance Sachen, das sind keine technischen Sachen.

00:23:11: Also sie haben schon in der Vergangenheit zugegeben, es gibt schon noch technische Möglichkeiten

00:23:15: auf diese europäischen, von europäischen Kundendaten zuzugreifen.

00:23:19: So, und jetzt gab es eine Anhörung am 10.

00:23:21: Juni in Frankreich, da hat der Französische Chefs Justizjahr von Microsoft vorgeladen

00:23:27: worden und der hat man so nonschalant, dass es aus dem Protokoll dann ersichtlich geworden

00:23:31: ist, hat erst später jemand ausgegraben, zu dem Tag war das noch gar nicht relevant

00:23:36: diese Aussage, hat gesagt, na ja, also ehrlich gesagt, der Cloud Act, der US-amerikanische

00:23:42: Cloud Act, der es amerikanische Strafverfolgungsbehörden mit richterlicher Anordnung erlaubt, auf

00:23:49: europäische Kundendaten von Microsoft zuzugreifen, also auch von Kunden, die außerhalb der

00:23:54: USA gehostet sind, also zum Beispiel genau das, was jetzt diesen Fall betrifft, der würde

00:24:01: diesen Durchgriff nach wie vor ermöglichen und die würden, wenn die einen Antrag stellen,

00:24:06: dann müsste Microsoft den Antrag prüfen und wenn es tatsächlich eine strafrechtliche

00:24:09: Relevanz hat und die zum Beispiel das FBI braucht diese Daten, dann muss Microsoft

00:24:14: die rausgehen, und zwar von europäischen Kunden.

00:24:17: Damit ist diese ganze EU-Boundary quasi wieder hinfällig, weil man ja großsprachig gesagt

00:24:22: hat, na ja, na ja, na ja, die amerikanischen Überwachungsgesetze wie Cloud Act oder so,

00:24:26: die haben dann jetzt hier keine Bedeutung mehr und das stimmt einfach nicht, es war eigentlich

00:24:29: absehbar, also man hätte auch nicht wissen können, wie sie es machen wollen, weil sie

00:24:34: können sich diesen amerikanischen Rechtsdurchsetzung nicht entziehen, das kann zum Beispiel Amazon

00:24:39: auch nicht, also das Gleiche gilt natürlich auch für AWS, also für den Amazon Cloud Service

00:24:45: und für den Google Cloud Service genauso überall da gibt es diese Durchgriffsrechte

00:24:50: durch dieses Gesetz von 2018 aus der ersten Administration, den Cloud Act und damit hat

00:24:57: der das aber mal so Amazon bestätigt und das hat schon ein bisschen Aufschrei gesorgt,

00:25:02: wie ich finde auch zu Recht, weil Microsoft zumindest was anderes versprochen hat.

00:25:08: Ich bin mir nicht sicher, ob sie tatsächlich so weit gegangen sind, zu versprechen, dass

00:25:15: der Cloud Act nicht gilt, echt? Dann muss es schon fast alles nicht, weil das war eigentlich

00:25:21: völlig absehbar, dass das nicht der Fall ist, also dafür ist der Cloud Act ja gerade gemacht worden.

00:25:26: Und gerade Microsoft, da muss man sich auch mal loben, hat ja auch ziemlich viel getan.

00:25:30: Daraus ist der Cloud Act überhaupt daraus erst entstanden, das war ja ein konkreter Fall,

00:25:35: eine Strafverfolgung, da wollte glaube ich auch das FBI damals Daten von Microsoft

00:25:42: von europäischen Kunden haben und dann haben die sich komplett quergestellt und haben diesen

00:25:45: Antrag nicht entsprochen und diesen Auslieferung, diesen Quasi-Daten-Auslieferungsersuchen und

00:25:50: dann ging das durch die Instanzen. Und in der Folge hat dann Trump gesagt, diese Lage muss

00:25:55: geklärt werden, dann machen wir den, die war nämlich vorher nicht ganz geklärt, dann machen wir

00:25:59: den Cloud Act um das ganz klarzustellen, dieser Durchgriff gilt. So und seit dem 2018 gilt er eben

00:26:04: durch den Cloud Act. Ja und sie haben sich danach dagegen gewährt, aber ich kann mich über den

00:26:14: Cloud Act immer nicht so ganz aufregen, weil Cloud Act ist halt irgendwie, da kommt eine

00:26:19: Strafverfolgungsbehörde und es gibt irgendwie, werden auch nur so eine Art nicht so richtig

00:26:23: normales Gericht, aber es gibt sowas ähnliches wegen Gericht. Bin ich jetzt nicht die

00:26:29: große Bedrohung, ehrlich gesagt, wobei wir natürlich genau alle, also ich muss jetzt nicht

00:26:34: kein Verschwörungstheoretiker zu sein, um zu sagen, natürlich hat die mir die ganzen Geheimdienste

00:26:37: und so weiter im E-Zugriff auch sowas, die werden über sowas umzuwasern, auch lachen, aber

00:26:42: sowas kann man dann ja, da bin ich bei der sowas, sollte man dann noch nicht versprechen, wenn man

00:26:45: wirklich unter gar keinen Umständen halten kann, das war ziemlich offensichtlich, dass man es eben

00:26:48: nicht halten kann. Was ich damals gehört habe, das ist jetzt eine wirklich sportliche Aussage

00:26:55: und ich hatte nicht mal den Teil mit dem Cloud Act gehört. Also im Zusammenhang mit dem Cloud Act

00:27:01: noch mal, kann man vielleicht auch noch mal darauf hinweisen, dass der Cloud Act ein wesentlicher

00:27:06: Punkt ist, der in die ganze Behandlung von dem, ja, das ist nochmal, da muss ich sagen, dass das

00:27:20: zentraler Bestandteil war, dass es Abwehrmöglichkeiten gegen Durchgriff,

00:27:24: dass es Cloud Acts gibt, der Cloud Act und Pfizer, das waren die entscheidenden Komponenten,

00:27:28: die die Kommission, EU-Kommission unbedingt geregelt sehen wollte mit Widerspruchsmöglichkeiten,

00:27:35: bevor es einen neuen Angemessenheitsbeschluss gibt. Und wenn man das jetzt hier so sieht,

00:27:39: reißt halt wieder ein kleines Loch in dieses ganze Konstrukt. Ja, wir müssen auch demnächst

00:27:46: unbedingt mal eine Sendung machen über diesen Transatten, über den, den Stand ist,

00:27:50: unter datischen Datenverkehrs. Ich habe jetzt gerade diese Woche mal wieder mich versucht,

00:27:55: ein bisschen auf den Stand zu bringen, es gibt tatsächlich nicht viel Neues. Also es war ja

00:27:58: eigentlich, eigentlich war man sich ja sicher, dass Trump das ganze Ding kippt mit einer

00:28:02: Exekutivorder, hat er aber bis jetzt noch nicht gemacht, also im Moment. Also zum Beispiel,

00:28:08: dass er diese Kontrollcremien per Exekutivorder quasi ausschaltet. Er hat sie jetzt zwar ein

00:28:12: bisschen entbeint, hat sie reduziert, aber scheinbar ist es für die EU-Kommission noch nicht genug,

00:28:19: um darüber nachzudenken, dass den Angemessenheitsbeschluss zu gucken hat. Ich meine, da würden

00:28:22: sie sich wirklich sehr viele Feinde mitmachen in der darbenden europäischen Datenindustrie.

00:28:27: Ich glaube, Gedanken machen direkt so noch. Aber ich glaube, sie trauen sich ja nicht,

00:28:31: da wirklich was zu machen. Eigentlich müssten sie wahrscheinlich.

00:28:33: Aber Apropos? Apropos EU können wir noch mal kurz darüber reden, dass nach wie vor Reformbestrebungen

00:28:46: an der DSGVO-Bastelein rumgeistern und so gut heute mit den Überleitungen. Und jetzt hat sich

00:28:54: die der Europäische Datenschutzausschuss auch mit einer Stellungnahme geäußert, fand ich ein

00:29:00: bisschen überraschend, der sagt ja, ja, ja, ja, die DSGVO ist schon richtig hochgehalten, bla, bla,

00:29:04: bla, bla. Aber Jörg, was hat er denn gesagt, was will er denn beschlimm besser haben?

00:29:11: Also in der Stellungnahme habe ich jetzt wenig gefunden eigentlich, was jetzt ein konkrete

00:29:18: Aussage war, was natürlich damit zu tun hat, dass die Vorgaben der EU ja auch noch nicht so 100

00:29:23: Prozent konkret sind, sondern es gibt halt irgendwie eine ganze Menge Überlegungen,

00:29:26: oder das weißt du wahrscheinlich sogar besser als ich, in die eine oder andere Richtung. Eine Sache,

00:29:31: die glaube ich relativ konkret ist, ist halt, dass man, auch dass das durchkommt am Ende, ist halt,

00:29:40: dass man Unternehmen von Bürokratie befreien möchte, insbesondere KMU, also kleine und

00:29:46: mittler Unternehmen und hier insbesondere kleine Unternehmen. Und eine der größten Schmerzen in

00:29:54: Sachen Bürokratie ist ja das Verzeichnis der Verarbeitungstätigkeiten. Das ist auch so, ne?

00:30:00: Ich weiß, es gibt ganz viele Kollegen, die sagen, das ist das absolute Rückgrat meiner

00:30:07: Datenschutz-Tätigkeit. Das ist so wichtig, kann auf gar keinen Fall darauf verzichten.

00:30:11: Vielleicht sagst du nochmal ganz kurz, was das ist, Verfahrensverzeichnis. Verfahrensverzeichnis,

00:30:16: also das sind sich Verzeichnissen von Verarbeitungstätigkeiten, ist halt ein komplettes Verzeichnis

00:30:21: über alle Verarbeitung von personenbezogene Daten in einem Unternehmen und das ist also sehr,

00:30:25: sehr aufwendig. Also je nach Größe des Unternehmens, das können natürlich auch Tausende sein, auch

00:30:31: je nach Größe des Unternehmens und je nach Komplexität kann aber auch natürlich irgendwie,

00:30:35: ich bin Bäcker und habe eine Auslieferungsliste oder so, dann ist es halt nur eins oder zwei

00:30:39: oder drei, dann habe ich wahrscheinlich noch Personen, Mitarbeiter, Verzeichnisse, ich habe

00:30:44: HR, ich habe, irgendwie kommt man auch auf ein paar, ich habe bestimmt irgendeine Software,

00:30:47: ich habe E-Mails, also da kommt man auch manchmal vom Bäckerbestell auf locker. Da muss hier zum

00:30:51: Beispiel auch drin stehen, keine Ahnung, wenn der Bäcker eine Kundenverwaltungssoftware hat

00:30:55: oder so ein Abrechnungssoftware, da muss auch drin stehen, was der Versoftware einsetzt und so

00:30:58: zeugt, oder? Wie die Software heißt, muss da jetzt nicht zwingend rein, aber die Tatsache,

00:31:03: dass es hier eine Software ist, die, also man kann es auch einschreiben, macht wahrscheinlich Sinn,

00:31:07: aber es muss halt drin stehen. Was die macht und insbesondere, wie die halt Personen

00:31:13: zum Daten verarbeitet, das ist aufwendig. Das ist, ich würde mal schätzen, das ist in sehr

00:31:20: vielen Unternehmen in Deutschland, gerade bei den Kleineren gibt es davon, ganz kurz vorgegangen,

00:31:24: da gibt es davon eine Version von 2018, die seitdem nicht mehr angefasst wurde, so und

00:31:32: da möchte man so ein bisschen hin, Unternehmen in diesem Punkt zu erleichtern.

00:31:38: Aber jetzt muss ich noch mal sagen, also da gibt es ja so, wir haben das ja schon hier schon

00:31:43: öfter besprochen im Podcast. Es gibt ja genau die, vor allem die im beratenden Bereich tätig

00:31:50: sind die sagen, nur über dieses Verfahrensverzeichnis kriegt man Unternehmen dahin, ihre Datenverarbeitung

00:31:57: zu strukturieren, mal sich einen Überblick zu verschaffen, in die Abteilung zu gehen,

00:32:01: zu gucken, was da eigentlich passiert und da tauchen auch überraschende Sachen auf und es ist

00:32:05: einfach so ein awareness Ding, dass sie Unternehmen verstehen, was sie da eigentlich tun mit den

00:32:10: Daten, dass sie sich selber mal einen Gesamtüberblick verschaffen. Und dann gibt es auch, hatten wir

00:32:15: ja auch schon hier, Landesdatausschussbeauftragter, die zum Beispiel sagen, naja, wir gehen jetzt

00:32:18: halt, wenn wir mal ein Unternehmen reingehen und machen eine Kontrolle oder so, dann gucken wir

00:32:21: uns zuerst mal das Verfahrensverzeichnis an und es ist wirklich blöd, wenn kein Star ist. Also das

00:32:26: kann dann schon wirklich für Ärger sorgen, oder? Wenn ich es verstanden habe. Ja, das ist schon so ein

00:32:31: halbes Buchskeld, wenn das gar nicht da ist, es sollte schon irgendwie da sein, es muss wahrscheinlich,

00:32:35: also wer gibt es kein Buchskeld, wenn es nicht gibt. Ja, das ist ja mal auch unter dem Stichpunkt

00:32:39: Datenschutz für die Schublade, das ist ein Ding, was du machst, das legst du in die Schublade und

00:32:44: wenn dann irgendwann mal der Behörde einreitet oder was anfordert, dann kannst du das dann vorlegen,

00:32:48: kannst du daraus holen aus der Schublade? Ja, das wäre eine Art und Weise das zu sehen, ehrlich

00:32:52: gesagt, wenn die ich so ein bisschen dahin, aber ich weiß, wie gesagt, dass es ganz viele Kollegen

00:32:58: gibt, die das ganz anders sehen und das so als zentrale Rückgrat ihrer Datenschutzberatung machen,

00:33:04: dass sie davon eben immer ausgehen, was sicherlich auch gut und sinnvoll ist. Aber wir sind uns einig,

00:33:10: es macht sehr viel Arbeit und je kleiner das Unternehmen ist, desto schwieriger ist es für

00:33:16: das Unternehmen, sowas zu machen. Also natürlich holt man dann externen Raten, das macht man

00:33:21: nicht selber, mache ich ehrlich gesagt auch nicht selber. Wir haben einen Dienstleister, der so alle

00:33:26: einmal im Jahr oder alle anderthalb Jahre mal bei uns einfällt und den ich dann durch alle Abteilungen

00:33:32: jage und der dann die Gespräche führt und dann uns was Schönes bastelt. So habe ich selten rein

00:33:40: geguckt, muss ich ehrlich gesagt sagen, aber wir haben es auf jeden Fall. Und so wird es bei vielen

00:33:44: anderen Unternehmen auch sein. Und jetzt möchte, bis bisher steht es, gibt es eine Ausnahmeriegelung

00:33:51: für kleine Unternehmen in der DSGVO. Die DSGVO ist in Artikel 30 Absatz 5 und das ist eine,

00:34:00: ich persönlich finde, der völlig missglückten Regelung in der DSGVO, die soll Unternehmen mit

00:34:08: weniger als 250 Beschäftigten von diesen Pflichten ausnehmen. Da steht drin, die Pflichten, also

00:34:16: Verzeichnungs- und Verarbeitungstätigkeiten, gelten nicht für Unternehmen oder Einrichtungen,

00:34:20: die weniger als 250 Mitarbeiter beschäftigen. Es sei denn, wie von Ihnen vorgenommene Verarbeitung

00:34:27: wirkt ein Risiko für Rechte und Freiheiten der betroffenen Personen, was immer der Fall ist,

00:34:34: immer, Komma, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung

00:34:43: besonderer Datenkategorien gemäß Artikel 9. Also wirkt ein Risiko, was auch immer der Fall ist

00:34:51: und erfolgt nicht nur gelegentlich, was auch immer der Fall ist, weil welchem Unternehmen erfolgt,

00:34:56: denn die Verarbeitung personenbezogene Daten nicht gelegentlich, also das gibt es nicht. Also jeder,

00:35:05: der E-Mail bekommt, dann bin ich schon raus aus, nicht nur gelegentlich. Also ich habe jedenfalls

00:35:10: in meiner Praxis, die Start-ups zum Beispiel, die Kleiner sind beraten, aber auch die kamen

00:35:17: hier rein. Deswegen war diese, zumindest noch meine Erfahrung, falls nicht, haben andere

00:35:23: Erfahrungen gemacht, ist diese Vorschrift völlig missloggen. Jetzt möchte man sie angehen und

00:35:32: Man ist der Europäische Datenschutz-Ausschuss. Der hat sich dazu geäußert, also die Europäische

00:35:38: Kommission möchte daran gehen und die möchte ja die Unternehmen von Bürokratie entlasten und die

00:35:45: sagen, dass diese Anzahl von 250 auf 750 Mitarbeiter erhöht werden muss. Und kann man machen, wenn man

00:35:56: den aber im Übrigen unverändert lässt, kann man das auch gleich sein lassen, weil das ist völlig

00:36:00: völlig daneben. Ich weiß, ehrlich gesagt nicht, hätte man nochmal nachlesen müssen, ich weiß nicht

00:36:05: wie die wie die genaue Formulierung ist, aber es gibt wahrscheinlich auch noch keine genaue

00:36:09: Formulierung, sondern es sind immer nur Ideen im Moment. Also wenn dann muss man diesen ganzen

00:36:12: Absatz, sehr misslungenden Absatz anpassen, dass 750 Leute keine Verzeichnungs- und Verarbeitungstätigkeiten,

00:36:21: es sei denn besondere Datenkategorien oder sowas. Aber jedenfalls dieser unendliche Blödsinn

00:36:28: erfolgt nicht nur gelegentlich, der muss da halt raus. Ja, das ist wieder, diese unklaren

00:36:37: schwammigen Formulierungen in der DSGVO finde ich total schwierig, weil darunter erstens kann

00:36:42: sich sowieso niemand was darunter vorstellen, wie du gerade schon gesagt hast. Und ich finde aber

00:36:47: auch generell, diese Grenze ist so willkürlich. Also wenn wir jetzt sagen, wir gehen jetzt von

00:36:56: 250 auf 750 Unternehmen, Unternehmen, Mitarbeiter im Unternehmen, das sagt doch noch überhaupt

00:37:03: nichts über die Art des Unternehmens aus. Du kannst einen Start-up haben, was drei Mitarbeiter hat

00:37:08: und das kann mit solchen gewaltigen Datenmassen auch personenbezogenen, personenbezogener Daten

00:37:15: hantieren. Sie hier den ganzen Bereich KI zum Beispiel, KI Training und sowas, das sind da,

00:37:20: das sind beim Start-up-Held ja gut unterwegs. Und umgekehrt kannst du halt Unternehmen haben

00:37:26: mit 700 Mitarbeitern, aber natürlich die dann auch nicht nur gelegentlich ein bisschen mit

00:37:31: personenbezogenen Daten umgehen, die dann aber die gleiche Kategorie fallen. Ich finde das,

00:37:36: also das an der Mitarbeitergröße festzumachen, fand ich schon immer ein bisschen strange. Allerdings

00:37:40: ist es natürlich auch schwer, irgendeine andere Kategorie zu nehmen, weil wo will man Grenzen

00:37:44: ziehen? Irgendwo müssen sie halt Grenzen ziehen, aber ich weiß nicht ob die Mitarbeiter bezahlt,

00:37:48: da die Richtige ist. Du kannst natürlich auch nicht sagen, die Anzahl der Verarbeitung für

00:37:52: Artikel 9 Daten oder irgend sowas pro Monat, das kannst du alles nicht machen. Also ist das zu

00:37:56: quantifizieren, ist halt wirklich schwierig. Und dann behilft man sich halt mit so völlig unklaren,

00:38:01: schwammigen Grenzen, die niemandem was helfen in der Praxis. Das ist ja dann einfach nur wieder

00:38:06: beschäftigen für Gerichte im Zweifel. Ja, wobei natürlich diese konkreten Zahlen sind ja zum

00:38:10: Ausnahmswahl, sind wir nicht schwammig. Also die Zahlen sind nicht schwammig. Ja, aber hier sind

00:38:15: sie unbraugartig. Sagen Sie, ich habe hier nochmal die konkrete Formulierung, soll künftig

00:38:21: verunternehmen mit weniger als 750 Beschäftigte gelten, so färmt keine Datenverarbeitung

00:38:24: mit hohem Risiko für Betroffene erfolgt. Also ich hoffe, dass sie diesen ganzen anderen

00:38:27: Quadradatsch da rausstreichen. Allerdings, wer 750 Beschäftigte hat, hat auch immer eine

00:38:34: Datenverarbeitung mit hohem Risiko, weil spätestens bei Gehalts- und Beschäftigten Daten ist behindert,

00:38:39: ist katholisch. Also meins betrifft auf jeden Fall auch artikelneuen Daten. Nee, wer hat denn

00:38:46: bitte keine artikelneuen Daten? Also ist krank, ist in der Reha, ist verpartnert, was was ich

00:38:52: weiß. Es ist schwierig, glaube ich, artikelneuen Daten hierzu vermeiden. Aber ich begrüße das

00:39:00: grundsätzlich. Ich bin auch kein Freund von diesem Datenschutz wie Schublade. Mir würden

00:39:05: ein paar andere Sachen einfallen, wo ich noch mehr Bürokratie sehe. Ich würde also dringend die

00:39:12: Voraussetzung für Datenschutzfolgenabschätzung nach oben schrauben. Ich würde auch ganz dringend so

00:39:20: völlig unnützen, unsinnig wie Tiers reichen. Das sind diese Gutachten, die man schreiben muss,

00:39:28: wenn man Daten exportieren möchte gegen Transfer Impact Assessments. Transfer Impact Assessments

00:39:37: genau, also USA, zum Beispiel, wenn da kein Tattoo für Transatlantic Data, Privacy Framework oder

00:39:43: nach was das sich in Indien oder sonst irgendwie muss man immer so einen Gutachten machen, was

00:39:48: kein Mensch selber schreibt, sondern was man immer dann kauft von irgendwie eben, die sich da eine

00:39:53: Goldene Nase verdienen, was sie da einfach gemacht haben und da steht dann irgendwie drin, ja das

00:39:57: Recht in dem Land ist so und so, aber ist alles super, kannst du Daten exportieren. Also man schaut

00:40:03: dann, wie das vor Ort ist und das natürlich ein kleines oder normales Unternehmen jemals irgendwie

00:40:09: ever machen. Ich sehe nur, der ETSA, der Europäische Statenschutz Ausschuss, haben das grundsätzlich

00:40:23: begrüßt, das hier noch um das zum Abschluss zu bringen unterstützt, grundsätzlich das Ziel,

00:40:27: den Verwaltungaufwand für KMU zu verringern. Dies dürfe jetzt eine wirklich überraschende

00:40:32: Verstellung nicht zulasten des Datenschutzes gehen, deswegen sagen sie finden sie im Grundsatz gut,

00:40:41: aber sie müssen mal schauen, wie die Kukettformulierung ist. Also es ist jetzt eine Stellungnahme

00:40:46: auf dem Vorstatt der Kommission, in der Zukunft schauen wir mal, wie es weitergeht, das wird halt,

00:40:49: das wird noch geschraubt, wenn dann die DSGVO so viel steht fest, aber wahrscheinlich doch irgendeine

00:40:54: Maßstab. Ja, und ich fürchte auch nicht unbedingt an den richtigen Stellen. Also richtig schlimm wird es ja

00:41:02: irgendwie in Deutschland, wenn man dann sagt, ich möchte die Datenschutzbeauftragten für kleinere

00:41:08: Unternehmen abschaffen, im Übrigen aber alle Datenschutzanforderungen gleich bleiben, sodass du

00:41:14: irgendwie knallhattet Datenschutzanforderungen hast, aber niemanden, der sich immer unternehmen,

00:41:17: damit beschäftige ich so einfach so Handvorhalten, also die drei Affen oder so. Ja, also mal ganz ehrlich

00:41:22: bei dem Bürokratieabbau Bestrebungen, sagen wir es mal so, und Staatsmodernisierungsbestrebungen

00:41:30: aus dem Digitalisierungsministerium, ich bin da auch noch sehr skeptisch, also gibt ja schon so

00:41:36: Äußerungen, die von wegen, wofür braucht man eigentlich eine Einwilligung oder wofür braucht man

00:41:39: diese Rechtsgründe, man kann auch alles mit dem Outlösen und so, da könnte man da auch mal ran.

00:41:43: Also da denkt man schon sehr weit, finde ich, um alles immer mit dem Hintergrund, wir müssen unsere

00:41:50: Unternehmen entlasten von dieser überbordenden Datenschutzbürokratisierung. Da wird mir

00:41:57: gerade ein bisschen Angst und Bange, ich glaube, da kommt, weil Deutschland hat schon einen erheblichen

00:42:03: Einfluss auch auf das, was die Kommission macht und hat auch mittlerweile über die

00:42:10: Fraktionsverteilung im Europäischen Parlament ja auch mehr Einfluss in Europa, also zumindest die

00:42:16: deutsche Bundesregierung. Wir werden sehen, also wir denken jetzt auch an solchen Dingen wie das jetzt

00:42:21: plötzlich mit der dänischen Ratspräsidentschaft, genau, dass da jetzt die Chatkontrolle wieder auf

00:42:32: die Tagesordnung kommt, weil diesen ja befürworter eigentlich die Dänen der Chatkontrolle, die Polen,

00:42:36: dies vorher waren wir uns nicht, aber da wird schon eingesprungen vom deutschen Innenministerium,

00:42:40: Hurra Hurra, da können wir mitgehen. Also da sagen schon wieder alle Bürgerrechtsfeuerwehrenalarm,

00:42:48: weil das für das nächste halbe Jahr ansteht und man weiß auch noch nicht, was da auf europäischer

00:42:55: Ebene noch noch uns zukommt, also scheinbar gibt es auch da einen daartigmen Wechsel wieder sehr zu

00:43:01: ungünstigen der Bürgerrechte. Ja, machen wir es nicht so, in dieser Regierung des Bürgerrechts

00:43:05: nicht vertreten oder zumindest in der Priorität so nahe. Das hat dich aufgeregt, Hurra, diese Woche.

00:43:12: Was hat dich diese Woche noch aufgeregt? Ich habe ja ein schönes Zitat von dir,

00:43:16: von unserem Gespräch gestern. Wir müssen uns auch mal über dieses Codeplay-Dingregen ganz

00:43:24: schön eklig alles. Ja, das ist eher so ein allgemeines Unwohlsein bei dieser ganzen Geschichte,

00:43:32: also man kann das am letzten Donnerstag oder Freitag ganz kurz für irgendjemanden im

00:43:38: hintersten Eck in Deutschland, der es nicht gehört hat oder kein ade brisan guckt oder

00:43:45: sonst irgendwas. Es gab ein Codeplay-Konzert in der Halle in den USA und dort ist es üblich,

00:43:52: dass es da so eine Kisscam ab und zu mal über die Zuschauerrenge geht und Leute einfängt irgendwie

00:43:59: und sie dann bittet sich doch bitte in diesem eingeblendeten Herzchen mal zu knutschen oder so und

00:44:04: das ist dann total lustig und dann ist es halt passiert, dass da ein Pärchen in Umarmung,

00:44:13: würde ich schon sagen, in Umarmung abgefilmt wurde und die, als sie gesehen haben, dass sie da auf der

00:44:19: Leinwand sind erschreckt auseinandergegangen sind, teilweise versucht haben sich zu ducken und so und

00:44:24: dann das hat halt eine Konzertbesuchung mitgefilmt und hat es dann, glaube ich, auf Insta und auf

00:44:31: TikTok hochgeladen und dann ging die Suche nach diesen Leuten los. Wer war das denn? Chris Martin

00:44:35: selber, also der Sänger von Codeplay hat dann im Konzert sogar gesagt, hoch hat das gesehen,

00:44:39: irgendwie auf der Leinwand gesagt, die werden da wohl keine Affäre haben oder sowas, was ich

00:44:43: schon sehr daneben fand, ehrlich gesagt, muss ich sagen, weil es muss ja damit gerechnet werden,

00:44:47: dass es irgendwie nach außen dringt, was da auf der Leinwand zu sehen ist. Normalerweise kreter

00:44:51: kein Hahn auch, vielleicht hätte auch kein Hahn nachgekriegt, wenn es nicht irgendwie zufällig

00:44:55: so aufgeploppt wäre und vermehmt worden wäre, ohne Ende, irgendwie da gibt es ja dann Memes

00:44:59: erst mal und dann ging der Ekelhaft total los, den ich meine. Dann wurde nämlich rumgedoxt,

00:45:04: dann wurde zuerst mal, wurden natürlich diese Personen, die da abgebildet, waren gesucht und

00:45:07: sofort gefunden. Er ist ein CEO von einem, von einem größeren gut, gut Kapital bewertet, nur als

00:45:13: amerikanischen Unternehmen. Sie ist, glaube ich, seine Personalerin gewesen oder so. Ja, ich glaube

00:45:17: ich. Ja, da kommen wir noch zu genau. Und ja, er ist verheiratet, sie ist die IAT und die beiden

00:45:26: waren da zusammen auf dem Konzert und haben aufsichtlichen Affäre soweit so gut. Sollte uns

00:45:30: eigentlich, finde ich, als normal denkende Menschen nicht weiter interessieren, passiert halt,

00:45:34: passiert täglich 100.000fach oder sagen wir mal 1.000fach. Nur ist es aber so, dass wenn die zum

00:45:40: Abschluss frei gegeben sind über die Bilder, die da erst stehen, dann wird halt gesucht. Natürlich

00:45:44: wurde sofort klar, wer das ist. Dann gingen die ersten Wetten ein, mittlerweile auch irgendwie auf

00:45:49: irgendwelchen bescheuerten Bitcoin-Wettplattformen. Wer lässt sich zuerst scheiden von den beiden?

00:45:55: Und natürlich wurden sie gefunden, die Telefonnummer wurden gefunden, die wurden belagert. Er hat

00:46:00: seinen CEO-Posten ziemlich umgehend verloren dadurch. Ich weiß nicht, wie es mit ihr ist,

00:46:05: ob sie noch an dem Unternehmen ist. Ich werde nenn jetzt auch mal bewusst keine Namen. Aber

00:46:09: zumindest wurde dann halt auch das ganze Umfeld gedoxt. Dann wurde seine Frau gefunden und wurde

00:46:14: von den Medien auch belagert irgendwie. Dann hat sie aber ausgestellt, dass sie das falsche

00:46:18: Instagram-Profi gefunden haben, dass sie das gar nicht ist und so, weil es eine Namensweichheit

00:46:24: gab. Und so wurden total viele Leute in die Öffentlichkeit gezerrt. Ich meine, die werden

00:46:27: ihres Lebens nicht mehr froh. Das sind jetzt die vom Coldplay-Konzert. Und alles nur wegen dieser

00:46:32: Kiss-Camp. Ich glaube auch irgendwie den anderen Typen, der so heißt und der wohl auch irgendwie die

00:46:37: Hölle auf Erden erliebt hat. Genau. Und ich weiß nicht, was daran lustig ist. Ich kann es nach wie vor

00:46:42: nicht nachvollziehen. Und ich finde es auch wirklich... Wir leben halt in einer Post-Privacy-Gesellschaft,

00:46:47: ist klar. Wer auf so ein Konzert geht, muss wahrscheinlich damit rechnen, irgendwie öffentlich

00:46:53: zu werden, wenn es ganz schlecht läuft. Aber dass die Leute dann so zum Abschuss freigegeben werden

00:46:59: und wahrscheinlich wirklich ihren kompletten Lebensentwurf über den Haufen berffen müssen,

00:47:03: das finde ich einfach eklig. Das ist ein Mob, der da gerade rumfuhr werkt. Und ich finde, das sind ganz

00:47:13: oft Leute, die selber für sich große Privacy-Statuten stellen und auf keinen Fall in die

00:47:19: Öffentlichkeit reden wollen. Aber einen Genuss dabei empfinden, wirklich andere dann so in die

00:47:24: Öffentlichkeit zu zähren, mag ich nicht. Wollte ich nur mal sagen. Ich habe ein paar gute Memes

00:47:32: gesehen, aber da waren die nicht mehr als Personen da drauf. Kein Zweifel, das gab auch.

00:47:36: Ja, ja, das war ganz wichtig. Aber klar, ich bin da grundsätzlich der Meinung, wir haben

00:47:43: uns das auch mal irgendwie so ein bisschen datenschutzmäßig angeschaut, weil ja durchaus

00:47:46: auch interessant dürften, die das haben wir das überhaupt bedürft. Und diese Kisscams gibt es ja

00:47:50: nicht in den USA, also auch bei uns in unserem wunderschönen Hannover 96-Stadion gibt es

00:47:56: Kisscams, ich habe immer schon darauf gewartet, ob es uns mal trifft, aber das war nicht der Fall.

00:48:01: Dazu müssen wir sagen, wir haben beide Dauerkarten, stehen zu jedem Spiel nebeneinander im Stadion

00:48:07: und warten immer bis sehnsüchtig, dass die Kamera mal bei uns wobei schwenkt. Aber die

00:48:12: geht immer nur über die teuren Plätze. Ja, und die Sachen, die man gewinnen kann, sind

00:48:16: auch holdig, aber egal, ein Gutschein über ein Cocktail oder so. Datenschutzrecht, Videoaufnahmen,

00:48:27: Videoprojektionen fallen unter die DSGVO und das heißt, ich brauche eine Rechtsgrundlage und

00:48:33: das hier eine spannende Frage, jetzt alles mal weit in den USA, aber jetzt mal übertragen auf

00:48:36: Deutschland. Einwiedung haben wir sicherlich nicht, berechtigtes Interesse. Also würde ich doch

00:48:45: sehr, sehr bezweifeln, dass das Interesse des Veranstalters irgendwie auf ein paar lustige

00:48:50: Bilder hier das Interesse der Dargestellten überwiegt. Natürlich die meisten, das auch nicht schlimm

00:48:55: finden, weil so eine Situation hat man ja auch selten, aber natürlich gab es dann daraufhin

00:49:00: irgendwie große, große Sammlungen von Bildern von anderen Leuten, die da nicht darauf erfasst

00:49:06: werden mussten oder so. Also das war nicht der erste Fall. Bei Großveranstaltungen finde ich

00:49:11: mal das Hinweis in den AGB oder auf den Eintrittskarten, aber ob das allein als konkreter

00:49:16: Einwiedung gesehen muss, würde ich doch mal sehr bezweifeln. Deswegen hier recht am eigenen Bild,

00:49:21: ganz klarer Verstoß. Das ist natürlich keine Person der Zeitgeschichte oder irgendwas und die

00:49:29: Verbreitung und das sieht man hier sehr gut, kann zu einer Bloßstellung keine Abführigung führen,

00:49:35: deswegen eben auch kein öffentliches Interesse. Moment, da muss ich mal fragen, wer ist denn jetzt

00:49:41: der Verbreiter? In dem Fall, wer ist wahrscheinlich die Nutzerin, die das Video von der Kiskem Leinwand

00:49:45: gemacht hat und das dann auf Instagram benutzt hat, oder? Wahrscheinlich nicht der Stadienbetreiber

00:49:51: oder der Hallenbetreiber, sondern der Konzertveranstalt, sondern tatsächlich die Dame, die es weiter

00:49:56: verbreitet hat. Na ja schon beide, natürlich ist es auch, wenn du es nur in der Halle, ich

00:50:01: sage keine, ich meine es war ein Stadion oder irgendwas. Nächstes war eine Halle, ich habe mal eine Halle. Wenn es da auf

00:50:08: die Leimwände spielt, ist natürlich auch das GFO relevant, aber ja, wahrscheinlich als solches

00:50:13: nicht herabwürdigend, sondern erst dann herabwürdigend war es dann wahrscheinlich erst in dem Moment,

00:50:16: wo die Dame das veröffentlicht hat. Und hier eben besonders problematisch war ein Satz noch,

00:50:22: Erfassung im Kontext privato, der intime Details, wie etwa diese Affäre bekannt werden, was dann

00:50:28: natürlich eine massive Verletzung des Persönlichkeitsrechts und des Rechtsaufinformations einer

00:50:32: Selbstbestimmung behastelt. Also ehrlich gesagt, kann ich mich nicht erinnern, dass ich mal irgendein

00:50:37: passes wahrgenommen habe, dass ich diese Kiskem erleiden muss, wenn ich ins Stadion gehe, aber es

00:50:42: kann auch sein, dass ich die AGB vom Stadionbetreiber mal durchschneide. Ich habe Punkt 22 Absatz 3.1

00:50:48: nicht gelesen, kann gut sein. Aber das würde reichen, ja, wenn es das steht. 10 Tage fängt die zweite

00:50:53: Digger an, muss ich mal lesen. Nee, ich glaube nicht. Ja, ist die Frage. Aber eine Einwegelung muss

00:50:59: das nicht unbedingt sein, das ist schon konkludent, also muss er damit rechnen. Also spätestens,

00:51:04: wenn du dann irgendwie in die Kamera grinst und küsst, dann wirst du hier von einer Einwegelung

00:51:07: ausgehen können. Und das haben die jetzt nicht getan? Ja, ja, die haben wir ja schon erst mal

00:51:13: gegrinst, also wir haben schon ein weiter gedauert, weil es ist wahrscheinlich bei jedem so, dass sie das

00:51:18: etwas haben, dass das vielleicht nicht so ganz gut ist, wo man sich nachfragen muss, ist es so gut,

00:51:22: sich da so in die Öffentlichkeit zu stellen. Aber das heißt natürlich nicht, dass jeder das

00:51:26: verbreiten darf. Schwierig, also in Deutschland keine Rechtsgrundlage eindeutig nicht zulässig,

00:51:34: untermal in den USA in dieser Form auch nicht, aber auch das werden sie, wenn so was mal in der

00:51:40: Welt ist, das weißt du besser als ich, Holger, dann kriegt man es nicht mehr rein und die werden

00:51:45: ich glaube, die haben gerade andere Probleme als irgendwie den Datenschutzbeschwerde bei der

00:51:49: Datenschutzbehörde, das entsprechend im Bundesstaat das zu stellen. Die haben sogar ein relativ liberales

00:51:58: Datenschutzrecht. Ja, das war bizarr und auch ärgerlich. Du hast ja aber schon über den Feld

00:52:09: aufgeregt und der hat nur wirklich kein Persönlichkeitsrecht, dass es zu Waren geht. Also erschossenen

00:52:18: Welt, von der Polizei erschossenen Welt, was ich nachher eine großartige Geschichte finde aus,

00:52:22: aber ich bin auch schon Welt. Der Welt hat seine Babys beschützt, das ist gemein. Er war aber nicht

00:52:28: böse, er wollte nur den Babys beschützen. Aber gut, dann würde ich sagen, sind wir mit unserem

00:52:35: kleinen Kesselbund schon so gut wie durch? Du hast nur noch ein Fähnchen. Ja, ja, wenn du gestattest,

00:52:43: unser, wir hatten ja mal, Gott, wie heißt da noch mal, Schei, jetzt habe ich den Namen vergessen,

00:52:50: naja, zumindest es gibt ja nicht nur die Landesdatenschutzbehörde und die Bundesdatenschutzbehörde,

00:52:59: sondern es gibt auch den kirchlichen Datenschutz, der jenseits der DSGVO läuft und auch die

00:53:05: Kirchendatenschutzbehörden bringen Tätigkeitsberichte raus. Und das wäre mein kleiner Ferienlese

00:53:11: für den Sommer, falls jemand noch was für den Strand braucht. Es gibt jetzt den veröffentlicht

00:53:19: worden ist der Datenschutzbericht des katholischen Datenschutzzentrums in Frankfurt, die für den

00:53:26: katholischen Datenschutz zuständig sind, der Tätigkeitsbericht 24. Und der ist schon sehr

00:53:30: lustig. Also es gibt natürlich viele kleine Fälle, man sieht, dass sie sich mit sehr vielem

00:53:35: weltlichen Beschäftigen was die Landesdatenschutzbehörden auch tun mit zu weit gefassten E-Mail-Verteilern

00:53:43: oder irgendwie alles Mögliche drin, aber halt auch wirklich sehr spielte Fälle. Jörg, ich

00:53:49: hätte es schon gesagt, also ein Fall, da geht es um Teufels-Austreibung und Auskunftsansprüche.

00:53:53: Aber ich muss mich kurz daraus vorleben, weil ich den wirklich nett fand. Wer nachlesen

00:54:07: möchte, Punkt 312 im Tätigkeitsbericht "Ein alter Brauch, das Vergraben der Plazenta".

00:54:13: Ich lese jetzt "Das Vergraben der Plazenta und anschließend darauf einen Baum zu pflanzen

00:54:18: ist ein bekannter Brauch, doch soll es sich natürlich um die eigene Plazenta handeln. Im

00:54:23: vorliegenden Fall wurde ein Jungpaar im Krankenhaus eine eingefrohene Plazenta mitgegeben, die

00:54:28: wie sich beim Auftauen herausstellte mit dem Patientenaufkleber einer anderen Frau versehen

00:54:34: war. Die Recherche ergab aufgrund der Geburtszeit, dass es sich um die richtige Plazenta handelte,

00:54:39: die jedoch mit einem falschen Aufkleber versehen worden war. Durch die auf dem Aufkleber vorhandenen

00:54:44: besonderen Kategorien Personennützungen der Daten der anderen Mutter, die dem Jungpaar

00:54:49: auf diese Weise unberechtigt zur Kenntnis gelangt sind, handelte es sich hier um eine

00:54:53: Datenschutzverletzung. Um zukünftig den Vorgang des Plazenta einfrieren Datenschutzsicherheits

00:54:58: zu gestalten, wurde im betroffenen Krankenhaus der gesamte Prozess einer Arbeitsanweisung

00:55:02: verschriftlicht und die Mitarbeiterinnen und Mitarbeiter im Kreißsaal wurden entsprechend

00:55:07: geschult. Das ist ein Fall aus dem Tätigkeitsbericht. Es gibt noch einige weitere Skurrile, es lohnt

00:55:13: sich einfach mal reinzuschauen. Ich werde es verlinken in den Schoen. Ja, dann können

00:55:18: wir es auch mal ein bisschen auf der Teufelsaustalberung. Unser Gast ist Felix Neumann. Ja, Felix Neumann

00:55:23: war es. Siehst du, demnächst ist einfach der Name nicht eingefallen. Mir lag es auf der

00:55:26: Zunge. Klar, ich verlinke das gerne auch noch mal. Ich betreibe das tollen Blogs Artikel

00:55:31: 91, wo er sich mit kirchlichem Datenschutz in allen Aspen beschäftigt. Die Frage empfehle

00:55:35: ich auch gerne, weil die war wirklich richtig gut. Genau. Ja, das sehen wir durch. Das nächste

00:55:43: Mal haben wir einen Gast geplant. Wollen wir das schon sagen? Oder wollen wir unsere

00:55:47: Zuhörerinnen und Zuhörer überraschen? Ich weiß gar nicht, was wir mir geplant haben.

00:55:52: Achso, doch, wir wollten vielleicht sagen, den Gast nicht, dass er noch einen Urlaub

00:55:55: wert. Genau. Da haben wir gerade irgendwie einige Male. Aber wir wollen reden über Auskünfte

00:56:02: und Auskünfte versus Geschäftsgeheimnisse. Genau. Könnte ganz, könnte sehr spannend

00:56:06: werden. In diesem Sinne weiß ich doch auf unsere Kontaktmöglichkeiten hin, die E-Mailadresse

00:56:12: ist auslegensache@ct.de. Auf der Webseite ct.de/auslegensache findet man diese sowie alle weiteren 138 Episoden. Dieses

00:56:26: kleinen muckeligen Podcast, der sich ausschließlich, momentan ausschließlich mit Datenschutz beschäftigt.

00:56:31: Vielleicht erweitern wir das ja auch heute Mal, da weiß ich mach jetzt keine Diskussion

00:56:35: auf, keine Sorge. Und ja, in diesem Sinne kann ich auch nur noch sagen, Happy Ferien

00:56:43: kommt durch die, kommt durch die Hetze gut durch, die ja im Moment nicht, also jetzt

00:56:47: zum Zeitpunkt nicht ausreichend. Außer wenn wir im Zimmer auch im Rest der Welt nicht

00:56:51: vorhanden ist, aber nein. Okay, in diesem Sinne dann in 14 Tagen wieder. Bis dann.

00:56:58: Danke.