Bereits im Mai 2020 hat die Berliner Datenschutzbeauftragte darauf hingewiesen, dass zur Sicherstellung des Betriebs auch von der öffentlichen Verwaltung mangels erkennbarer Alternativen nur allzu häufig Dienste und Software eingesetzt wurden, die unsicher und datenschutzrechtlich nicht akzeptabel sind. Das Schrems-II-Urteil im Juli 2020 hat hinter die Aussage nochmal ein Ausrufezeichen gesetzt. Doch wie kommen wir zu Alternativen? Und wie helfen die Datenschutzaufsichten dabei? Darum gehts in dieser Folge.

Ist der föderale Weg Deutschlands, was die Datenschutzaufsicht angeht, der Richtige? In letzter Zeit ist die Vielzahl der Länderbehörden in die Diskussion geraten, auch wegen teils unterschiedlicher Auslegungen der Vorschriften. Kann die Datenschutzkonferenz, das wichtige Gremium für den Austausch unter den Behörden, den föderalen Datenschutz verbessern und so bewahren? Ein Gespräch mit Andreas Schurig, dem Vorsitzenden der Datenschutzkonferenz.

Mit der Entscheidung zum Fall Schrems 2 fällte der EuGH kürzlich ein echtes Paukenschlag-Urteil. Doch was bedeutet dieses Urteil genau für die Praxis? Und wie kann man generell Urteile zum Datenschutzrecht für die eigene Praxis deuten? Im Interview sprechen wir mit Dr. Eugen Ehmann über das aktuelle Urteil und generell die Auswertung der Rechtssprechung für die praktische Arbeit der Datenschutzbeauftragten.

Mit seiner Äußerung bezüglich Bußgelder für Lehrer sorgte der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit für Aufregung. Ihn auf diese Aussage zu reduzieren wäre ungerecht, da er zum Thema „Datenschutz an Schulen“ schon seit Langem auf vielfältige Art und Weise aktiv ist. Im Interview sprechen wir mit Dr. Lutz Hasse über die aktuelle Problematik von Homeschooling und Datenschutz.

Für die KI-Forschung und den Einsatz von Gesichtserkennung gilt China als Eldorado. Doch auch amerikanische Unternehmen, wie z.B. Clearview AI, machten mit Geschäftsmodellen rund um die massenhafte Verarbeitung von biometrischen Daten von sich reden. Und in Europa? In Hamburg setzte die Polizei im Rahmen der G20-Vorfälle auf den Einsatz von Gesichtserkennungssoftware in einer wenig begrenzten Art und Weise. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit mischte sich in diese Entwicklungen ein, mit konkreten Auskunftsersuchen im Fall von Clearview AI und behördlichen Anordnungen, was den Einsatz von Gesichtserkennung in Hamburg betrifft.
Im Interview bringt uns Prof. Dr. Johannes Caspar auf den aktuellen Stand der laufenden Verfahren und gibt Ratschläge, welche Risiken und Rahmenbedingungen deutsche Unternehmen beim Einsatz von Gesichtserkennung, Biometrie und KI berücksichtigen sollten.

Sensible Gesundheitsdaten Infizierter müssen in großer Menge von öffentlichen Stellen verarbeitet werden, Unternehmen mussten von heute auf morgen Datenverarbeitungsprozesse ins Homeoffice verlagern. Tracking-Apps schaffen Chancen aber auch Risiken bei der Verfolgung von Infektionsketten. Im Interview geht Michael Will, neuer Präsident des Landesamts für Datenschutzaufsicht Bayern, auf die vielen Fragen zum Datenschutz in dieser Krisenzeit ein:
Wie viele und welche Anfragen gingen bezüglich. Corona und Datenschutz ein? Warum steht der Datenschutz bezüglich Corona in der Kritik? Worauf genau muss man als Unternehmen achten, wenn man zum Beispiel Infektionsschutz und Datenschutz umsetzen will? Wie sind die Vorschläge für Tracking-Apps zu bewerten? Worauf müssen Gesundheitsämter, Polizei und andere öffentliche Stellen jetzt achten? Was kann der Datenschutz aus der Corona-Krise lernen? Gibt es auch beim Stichwort Corona Differenzen zwischen den Aufsichtsbehörden der EU-Mitgliedsländer? Werden sich die Aufsichtsbehörden bei Kontrollen nun erst einmal zurückhalten? Können die Aufsichtsbehörden mehr Druck auf Hersteller z.B. von Videokonferenztools machen, um Privacy-by-Default durchzusetzen?

Im November 2019 wurde die neue Fassung 2.0 von der Datenschutzkonferenz beschlossen. Das SDM wurde zuvor umfassend überarbeitet und mit der DSGVO harmonisiert. Im Interview stellen wir Gabriel Schulz die folgenden Fragen:
Was genau ist das SDM? Wie ist es dazu gekommen, warum wurde es entwickelt? Wie hilft das SDM den Unternehmen und speziell dem oder der DSB? Wie unterscheidet es sich von anderen Management-Modellen? Und welche Beziehung hat es zum IT-Grundschutz des BSI? Wie arbeitet man mit dem SDM? Welches Feedback bekommen Sie von den Unternehmen? Was sind denn die Bausteine? Wie genau werden diese eingesetzt? Was hat es mit dem Maßnahmenkatalog auf sich? Wie und wann wird dieser Katalog ergänzt? Kürzlich wurde die Version 2.0 und 2.0a veröffentlicht. Was hat sich geändert seit der ersten Version? Sind bereits weitere Änderungen absehbar?
Welche Tipps haben Sie für Unternehmen, die das SDM einführen wollen?

Wenn ein neuer Kongress schon fast genau wie unser Magazin „Datenschutz PRAXIS“ heißt, müssen wir uns natürlich die Sache einmal näher ansehen. Als Referentinnen und Referenten waren die Datenschutz-Aktivisten Katharina Nocun und Max Schrems, Andreas Zavadil für die Datenschutzbehörde der Republik Österreich und mit Christine Deger, Michael Mrak, Rainer Neumann und Leo Deser eine Reihe weiterer Experten aus der Praxis vertreten. Die Veranstaltung wurde gemeinsam organisiert von der Audatis Group und der FTAPI Software GmbH in Zusammenarbeit mit der impetus Unternehmensberatung GmbH und der Xalevi Solutions GmbH.

Der Präsident des Bayerischen Landesamts für Datenschutzaufsicht Thomas Kranig konnte das Entstehen und Werden der europäischen Datenschutzgrundverordnung von Beginn an mitverfolgen und begleiten. Zum Erfahrungsbericht der Aufsichtsbehörden stellen wir ihm in diesem Interview die folgenden Fragen:
Welchen Änderungsbedarf sehen die Aufsichtsbehörden bei der Meldung von Datenschutzverletzungen? Stichwort Datenschutz durch Technikgestaltung: Was ist das Ziel der vorgeschlagenen Rolle des Herstellers? Was sollte an den Befugnissen der Aufsichtsbehörden und der Sanktionspraxis geändert werden und warum? Direktwerbung und Profiling: Wie sollte die DSGVO dies besser aufgreifen? Welche Vorschläge haben die Aufsichtsbehörden zu den noch immer nicht realisierten Datenschutzzertifizierung und Akkreditierung? Mit welchen Zeiträumen muss man ggf. rechnen bis zu einem möglichen Inkrafttreten von Änderungen an der DSGVO?

Was fordert die DSGVO hinsichtlich der Prüfungen durch die Aufsicht?
Was sind die Ergebnisse der Querschnittsprüfungen?
Welche Konsequenzen haben Unternehmen zu erwarten?
Welche Art von Prüfungen nutzen die Aufsichtsbehörden?
Tauschen sich die Aufsichtsbehörden über die Prüfungen aus?
Wie können sich Unternehmen am besten auf solche Prüfungen vorbereiten?
Sind weitere Querschnittsprüfungen geplant?
Werden bestimmte Branchen häufiger geprüft werden und z.B. Vereine weniger häufig?
Müssen wir künftig mit häufigeren Prüfungen rechnen und reichen die Kapazitäten für die geplanten Prüfungen und die Beratung aus?
Barbara Thiel spricht Klartext über die Prüfaufgabe der Aufsichtsbehörden, die Ergebnisse der Querschnittsprüfung und womit wir zukünftig zu rechnen haben.