Der Koalitionsvertrag steht; aller Voraussicht nach wird Friedrich Merz in wenigen Tagen neuer Bundeskanzler. Was hat die neue schwarz-rote Bundesregierung in Sachen Datenschutz vor? Im ewigen Dilemma Freiheit vs. Sicherheit gibt es eine eindeutige Tendenz – denn schon in der Präambel zum Kapitel zur Innenpolitik heißt es im Koalitionsvertrag, dass die Regierung die „europa- und verfassungsrechtlichen Spielräume ausschöpfen“ möchte und das „Spannungsverhältnis zwischen sicherheitspolitischen Erfordernissen und datenschutzrechtlichen Vorgaben“ neu austariert werden müsse.

Die Vorweihnachtszeit hat begonnen, und gerade in diesem Jahr werden wir alle wohl noch mehr online shoppen, als wir es ohnehin schon tun. Den allermeisten ist es vielleicht nicht bewusst, aber dabei stolpern wir regelmäßig über sogenannte „Dark Patterns“. Das sind z.B. Warnungen und Countdowns, die einem bei einer Kaufentscheidung zeitlich unter Druck setzen, schwer zu klickende Datenschutzeinstellungen oder Webseiten, auf denen man seinen Account nur mit enormem Aufwand löschen kann.

Weihnachten und Black Friday nahen! Von daher lohnt jetzt erst recht ein Blick in die Kampagne des Datenschutzbeauftragten von Rheinland-Pfalz, der u.a. darauf hinweist, dass Online-Shops gemäß den Artikeln 5 und 6 der DSGVO Gast-Zugänge anbieten müssen. Bei einer Stichprobe von über 100 Unternehmen hatte seine Behörde bei (nur) 13 Webseiten Mängel festgestellt; diese wurden sodann angeschrieben, um die Verantwortlichen für das Prinzip der Datensparsamkeit zu sensibilisieren. Denn Kunden müssen frei entscheiden können, ob sie ihre Daten beim Online-Shop in einem Kundenkonto hinterlegen möchten oder nicht. Die Option, als Gast zu bestellen, muss beim Online-Shopping daher immer als eine gleichwertige Alternative angeboten werden.

Elon Musk kommt wohl ungeschoren davon: X hatte ja vor einigen Wochen über Nacht und ohne Ankündigung damit begonnen, Beiträge von Nutzern zum Training seiner KI namens „Grok“ zu benutzen. Die Zustimmung war einfach plötzlich voreingestellt und konnte zunächst auch nur im Webbrowser verändert werden, aber nicht in der App. „X“ will nun auf die Verarbeitung bestimmter Daten von Anwendern aus der EU verzichten, die irische Datenschutzbehörde hat im Gegenzug ihre Klage wegen unrechtmäßiger Nutzung von Anwenderdaten für das Training einer Künstlichen Intelligenz fallen gelassen. Dabei werden die Daten, die bereits für „Grok“ unrechtmäßig erlangt wurden, nicht gelöscht, und X bietet das Produkt auch weiterhin auf der Grundlage dieser Daten an. Max Schrems‘ NGO „noyb“ (none of your business) hält seine DSGVO-„Dringlichkeitsverfahren“ deswegen aufrecht, wie die Organisation hier ausführlich erläutert.

Seit dem 1. August 2024 ist die KI-Verordnung der EU in Kraft. Schrittweise beginnen nun die einzelnen Kapitel zu gelten – die ersten im Februar 2025, die letzten im August 2027 – mit dem Ziel, menschenzentrierte und vertrauenswürdige Künstliche Intelligenz zu fördern und ein hohes Schutzniveau hinsichtlich Gesundheit, Sicherheit, Demokratie, Rechtsstaatlichkeit und Umweltschutz sicherzustellen, schädliche Auswirkungen von KI-Systemen zu vermeiden und gleichzeitig technische Innovationen zu unterstützen.

In loser Folge geht es hier immer wieder um den Beschäftigtendatenschutz – ein weites Feld, das sich auch stetig weiterentwickelt. Heute wollen wir uns mit den Themen Personalakte, Datenschutz im Bewerberverfahren und Beschäftigtendatenschutz in den Sozialen Medien und entsprechende Einwilligungen beschäftigen.

Ab wie vielen Beschäftigten braucht ein Unternehmen einen Datenschutzbeauftragten? Eigentlich war die CDU-Initiative, §38 Bundesdatenschutzgesetz abzuschaffen, im April 2024 im Sande verlaufen – so dachte man. Der Paragraph regelt unter anderem, dass ein Datenschutzbeauftragter benannt werden muss, soweit ein Unternehmen „in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt.“

Zuerst eine gute Nachricht: Die irische Datenschutzbehörde hat Meta vorerst untersagt, Daten von Instagram und Facebook für das Training seiner Künstlichen Intelligenz einzusetzen. Zuerst wollte sie das Vorhaben, das am 26. Juni starten sollte, wohl absegnen. Nach Protesten – u.a. natürlich von Max Schrems und seiner Organisation noyb – sieht die Behörde doch noch weiteren Gesprächsbedarf. Meta zeigte sich enttäuscht, da die Behörden bereits im März informiert worden seien. KI-Entwickler stehen offenbar bereits tatsächlich vor dem Problem, dass die Trainingsdaten für ihre riesigen Modelle inzwischen knapp werden! Daher werden verzweifelt neue Datenquellen gesucht.

Möglichst noch vor der nächsten Europawahl plant die EU, die CSAM-Verordnung (Child Sexual Abuse Material) an den Start zu bringen. Der populäre Name „Chatkontrolle“ trifft gleich den Nagel auf den Kopf. Denn eigentlich will die EU Anbieter von Messenger-Diensten bis hin zu E-Mails zu verpflichten, Fotos, Videos und andere Inhalte, die darin verschickt oder hochgeladen werden, automatisch auf Darstellungen von Kindesmissbrauch zu durchsuchen und mögliche strafbare Fälle an die Ermittlungsbehörden zu melden. In der Theorie ohne Frage ein Ziel, gegen das man nichts sagen kann.

Hoffentlich haben Sie jetzt nicht nur Bahnhof verstanden. In den letzten Wochen ist wieder einiges im Bereich Datenschutz passiert – hier die Highlights Schritt für Schritt:

„Consent or Pay“ – das kennt man in Bezug auf Datenschutz hauptsächlich von Webseiten von Zeitungen sowie seit einer Weile auch von diversen Social-Media-Plattformen, allen voran denen aus dem Hause Meta. Anstatt des klassischen Cookie-Banners (entweder zustimmen oder nur notwendigen Cookies zustimmen) hat man dort die Wahl zwischen Zustimmung oder einem kostenpflichtigen Abo. Nur mit diesem kann man der Verarbeitung seiner personenbezogenen Daten für verhaltensbezogene Werbezwecke entgehen. Die Idee ging von Zeitungsverlagen aus, die dadurch fehlende Werbeeinnahmen kompensieren wollten. Vermutlich in der Hoffnung, der gebeutelten freien Presse damit unter die Arme zu greifen, haben die Datenschutzbehörden dieses Vorgehen toleriert. Inzwischen verwenden in Deutschland aber schon 30 % der Top-100-Webseiten das „Consent or Pay“-Modell.