Alle Episoden

ChatGPT, Midjourney und Co. stellen die Datenschützer vor völlig neue Herausforderungen. Womit darf man generative KI trainieren? was sollte man beim Nutzen der Blackbox-Modelle beachten, um die Preisgabe personenbezogner Daten zu vermeiden, oder zumindest zu minimieren? Welche Anforderungen stellt die Datenschutz-Grundverordnung (DSGVO) an die Betreiber?

Der Datenschutz muss sehr aufpassen, um nicht wieder als Bremser des Fortschritts dazustehen, meint Joerg. Zusammen mit Holger diskutiert er in der Podcast-Episode die möglichen Rechtsgrundlagen und schätzt die momentane Lage ein. Den beiden kompetent zur Seite steht Dr. Michael Koch. Michael ist Mitarbeiter von Joerg in der Rechtsabteilung des Verlags und vertiefte diese Themen...

Geht es nach dem Willen der EU, wird bald jeder Bürger der 27 Mitgliedsstaaten eine europäische digitale Identität (EUid) auf Basis von digitalen Brieftaschen (E-Wallets) erhalten. Bereits 2030 sollen sich 80 Prozent aller EU-Bürger online im Web damit ausweisen können. Die gesetzliche Grundlage dazu nennt sich eIDAS-Verordnung 2.0 (electronic IDentification, Authentication and trust Services).

Diese Novellierung der ersten eIDAS-Verordnung aus dem Jahr 2014 hat fast alle gesetzgeberischen Hürden genommen: Am 9. November wurde ein Kompromiss zwischen EU-Rat, Parlament und Kommission erzielt, und am 7. Dezember hat Industrieausschuss des Parlaments diese Vorlage abgesegnet. Stimmt das gesamte Parlament voraussichtlich im Februar 2024...

Es wird langsam zur Tradition im c't-Datenschutz-Podcast: Ehemalige Behördenleiter kommen gerne als Gäste, um die High- und Lowlights ihrer Amtszeit gemeinsam mit Holger und Joerg Revue passieren zu lassen. Und das ohne jene Redebeschränkungen, die ihnen ihre Position auferlegt hatte.

In Episode 98 plaudert die ehemalige Landesdatenschutzbeauftrage Niedersachsens Barbara Thiel aus dem datenschutzrechtlichen Nähkästchen. Thiel amtierte von 2015 bis Mitte 2023 und erlebte den Awareness-Wandel, den die DSGVO mit sich brachte, als Behördenleiterin an vorderster Front mit. In Podcast erzählt sie, wie der Start verlief, welche Schwerpunkte sie sich aussuchte und auf welche Widerstände sie im Laufe ihrer Amtszeit stieß....

Als die Datenschutz-Grundverordnung 2018 wirksam wurde, führte das regelrecht zu panischen Reaktionen bei vielen ehrenamtlich Tätigen, beispielsweise in den mehr als 600.000 eingetragenen Vereinen. Dies hat einen simplen Grund: Zur negativen Überraschung sah das neue EU-Gesetz keinerlei Erleichterungen für sie vor. Nach dem Motto "one size fits all" gelten dieselben Bestimmungen für den Vorsitzenden des Taubenzüchtervereins wie für einen US-amerikanischen Megakonzern.

Mitterweile haben sich die Wogen geglättet, denn bislang lassen die Aufsichtsbehörden Milde walten. Nur in wenigen Fällen setzte es Bußgelder gegen Vereine, und wenn, ging es um eher geringe Beträge im dreistelligen Bereich. Dennoch tun Verantwortliche in Vereinen gut...

Nach einem außergewöhnlich langen Gesetzgebungsverfahren ist am 2. Juli 2023 das erste Gesetz in Kraft getreten, das den Schutz von Whistleblowern insbesondere in Unternehmen regelt. Damit hat Deutschland die EU-Richtlinie 2019/1937 (Hinweisgeberrichtlinie) umgesetzt. Weil die Bundesrepublik dabei alle Fristen gerissen hat, läuft ein millionenschweres Vertragsverletzungsverfahren.

In der Podcast-Episode werden die Genese des Gesetzes, Kompromisse bei der Umsetzung sowie die konkreten Anforderungen zum Schutz von Hinweisgebern diskutiert. Dazu haben Holger und Joerg einen kompetenten Gesprächspartner eingeladen: Dr. Simon Gerdemann war indirekt an der Enstehung des Gesetzes beteiligt und leitet derzeit das Projekt "Wirkungsanalyse des deutschen und europäischen Whistleblowing-Rechts" an der Uni...

Längst nicht jeden Umgang mit personenbezogenen Daten in Europa regelt die DSGVO. Für viele Unternehmen und Organisationen gelten eigene Datenschutzvorschriften, etwa für den Rundfunk, den Journalismus und vor allem für Kirchen und andere Religionsgemeinschaften. So haben sich die katholische und die evangelische Kirche in Deutschland eigene Gesetze geschrieben, die zwar an die DSGVO angelehnt sind, aber auch erhebliche Unterschiede aufweisen.

Wie ist das möglich, wo doch die DSGVO unterschiedslos in der ganzen EU gelten soll? Die Verordnung enthält in Artikel 91 eine Ausnahme. Sie besagt, dass Kirchen ihre Datenschutzvorschriften behalten dürfen, wenn diese schon vor Frühjahr 2016 gegolten haben und...

Seit dem 10. Juli dieses Jahres gilt das EU-US Data Privacy Framework. Die Vereinbarung erlaubt es Unternehmen, unter gewissen Voraussetzungen Daten in die USA zu transferieren. Die Erlaubnis beruht auf einem erneuten Angemessenheitsbeschluss der EU-Kommission, nach dem die Vorherigen vom Europäischen Gerichtshof einkassiert worden waren.

Was genau dieses DPF ist und was Unternehmen beachten müssen, hat die Konferenz der Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) Anfang September in ausführlichen Anwendungshinweisen gut verständlich erläutert. Anders als vergleichbare Beschlüsse mit weiteren Staaten erlaubt die Neuregelung nicht grundsätzlich eine Weitergabe über den Atlantik, wie die DSK betont. Das DPF wirkt sektoral und...

Die Struktur der Datenschutzaufsicht gilt in Deutschland als so komplex wie in keinem anderen EU-Staat. Grund dafür ist das föderale Prinzip, dem die Aufsicht unterliegt. Insgesamt 17 Landesbehörden wachen darüber, dass öffentliche und private Stellen die Datenschutz-Grundverordnung (DSGVO) befolgen - und legen dabei bisweilen höchst unterschiedliche Maßstäbe an. Auch die Besetzung der Behördenleitung vollzieht jedes Bundesland anders, was immer wieder zu Verwerfungen führt.

Das Land Sachsen-Anhalt beispielsweise sucht sage und schreibe seit fünf Jahren einen Nachfolger für den 2018 ausgeschiedenen Landesdatenschutzbeauftragten (LfD) Harald von Bose. Aus verschiedenen Gründen scheiterte die Wahl eines neuen LfDs immer wieder im Landtag. Diese Posse...

Die Datenschutz-Grundverordnung (DSGVO) beruht auf dem Verbotsparadigma: Das Erheben und Speichern von personenbezogenen Daten ist untersagt, außer es es ist erlaubt. Eine Erlaubnis kann sich nur aus Art. 6 ergeben, in dem die Rechtsgrundlagen definiert sind, also beispielsweise ein "berechtigtes Interesse" oder eine widerrufbare Einwilligung des Dateninhabers.

Fällt die Rechtsgrundlage weg, muss der Verantwortliche unverzüglich die erhobenen Daten löschen. Das muss er auch tun, wenn der Dateninhaber von seinem Recht auf "Löschen auf Zuruf" nach Art. 17 DSGVO Gebrauch macht. Diese Gemengelage macht deutlich, auf welch tönernen Füßen datengetriebene Geschäftsmodelle in der EU stehen. Auch die neuen Datengesetze wie der...