Zum fünften Geburtstag der DSGVO hat die irische Datenschutzbehörde die bislang größte Strafe in der EU aufgrund von Datenschutzverstößen verhängt: 1,2 Milliarden Euro! Tat und Täter sind allerdings wenig überraschend: Meta hat Facebook-Daten, auch nachdem „Privacy Shield“ 2020 vom EuGH gekippt wurde, weiter in die USA übertragen, wo je bekanntlich nicht das gleiche Datenschutzniveau wie hierzulande herrscht. Max Schrems hatte 2020 die Beschwerde eingelegt, in der jetzt auf Druck des Europäischen Datenschutzausschusses die Milliardenstrafe verhängt wurde. Außerdem soll Facebook binnen fünf Monaten „jede künftige Übermittlung personenbezogener Daten in die USA“ aussetzen und innerhalb von sechs Monaten die Verarbeitung (und Speicherung) aller personenbezogener Daten von EU-Bürgern in den USA einstellen.

Künstliche Intelligenz lebt von Daten – und dabei geht der neue Bot ChatGPT noch ein ganzes Stück weiter als die bis dato bekannten Alexa, Siri & Co. In einem Chat kann man dem Programm Fragen stellen oder Anweisungen geben – und bekommt binnen Sekunden einen voll formulierten Aufsatz, eine Rede oder sogar ein Gedicht. (Die Diskussion, wie man an Schulen und Universitäten damit umgehen soll, folgte prompt.) Die Abkürzung „GPT“ steht für „Generative Pre-training Transformer“, denn gelernt hat der Chatbot die menschenähnliche Kommunikation durch das Internet. Im Vorfeld des heutigen Blogartikels habe ich ChatGPT auch gleich einmal selbst ausprobiert. Dabei fällt zunächst (negativ) auf, dass man für die Nutzung einen Account anlegen muss, für den man auch seine E-Mail-Adresse und Telefonnummer verifizieren muss. So hat OpenAI wohl gleich alles beisammen. Der Sinn eines Accounts ist, dass die KI sich so auch an frühere Konversationen „erinnern“ kann und nicht jedes Mal von vorn anfangen muss, etwas über die Person zu lernen.

Bei den Krankenzahlen der letzten Wochen hat Sie oder jemanden in Ihrem Umfeld bestimmt auch schon eine Erkältung oder Schlimmeres erwischt. Im Umgang damit auf der Arbeit lauern so einige ungeahnte Fallstricke. Neu seit diesem Jahr ist, dass Arztpraxen jetzt in der Regel keine Arbeitsunfähigkeitsbescheinigungen mehr ausdrucken und dem Patienten mitgeben, sondern die Arbeitsunfähigkeit direkt elektronisch an die Krankenkasse melden. Arbeitnehmer müssen aber auch weiterhin vor Arbeitsbeginn Bescheid geben, dass Sie krank sind (aber nicht via WhatsApp!).

Hochmut kommt vor dem Fall (hallo Clubhouse!): Nach der anfänglichen Euphorie um ChatGPT muss sich die Entwicklerfirma OpenAI nun mit der DSGVO auseinandersetzen: Kaum auf dem Markt, kam zumindest in Italien am 31. März das vorläufige Aus des KI-Chatbots – die italienische Datenschutzbehörde hatte verfügt, dass ChatGPT nicht mehr die Daten italienischer Nutzer verarbeiten dürfe, und es damit als erstes Land weltweit de facto gesperrt. Da dies auf Basis der DSGVO geschah, horchte die ganze EU auf. Die Regulierung wird aber dadurch erschwert, dass der Betreiber keine Niederlassung in der EU hat. Deswegen darf und muss jedes Land die Einhaltung der DSGVO selbst überwachen.

Vor allem in Zeiten ständig steigender Preise suchen viele Menschen nach Wegen, Geld zu sparen. Inzwischen hat jeder Supermarkt eine hauseigene App, in der man Einkaufszettel anlegen, die aktuellen Angebote der Woche einsehen und auch Coupons für zusätzliche Rabatte (oder Punkte) exklusiv für App-Nutzer aktivieren kann. Manche Apps haben auch Rezeptvorschläge und berechnen, welche Menge von welcher Zutat man dafür kaufen – oder bestellen – sollte.

Zum Jahresende blickt man zurück, am Jahresanfang blickt man voraus: Netzpolitik.org hat den Überblick, was 2023 in Deutschland und auf EU-Ebene netzpolitisch wichtig wird. Darunter unter anderem der AI Act zu Künstlicher Intelligenz – diesem werde ich mich im nächsten Blogartikel ausführlicher widmen. Diesmal gibt es wieder einige Kurzmeldungen.

Eine klassische Situation, wo „der Datenschutz“ nur Kopfschütteln auslöst: In Bayern haben zwei Männer falsch geparkte Autos fotografiert und Anzeige gegen die Halter bei der Polizei erstattet – aber daraufhin selbst eine Verwarnung inkl. 100 Euro Bußgeldforderung vom bayrischen Landesamt für Datenschutzaufsicht bekommen. Sie hätten nämlich personenbezogene Daten rechtswidrig verarbeitet, da auf den Fotos auch gewisse Zusatzinformationen enthalten sein könnten (!), z.B. andere Verkehrsteilnehmer, Lackschäden, Sticker am Auto. (Die Strafe fürs Falschparken beträgt übrigens selten mehr als 55 Euro!)

Glück gehabt – das gilt sowohl für Google, Amazon & Co. als auch für deutsche Behörden: Das Oberlandesgericht Karlsruhe hat die Datenschutzbedenken der Vergabekammer Baden-Württemberg verworfen und gestattet Behörden, bei öffentlichen Aufträgen weiterhin auf Tochtergesellschaften von US-amerikanischen Cloud-Anbietern zurückgreifen. Die Vergabekammer war zuvor der Auffassung, wegen des „latenten Risikos“, dass US-Behörden auf die Daten zugreifen könnten, seien diese bei der Vergabe von vornherein auszuschließen. Dem OLG zufolge reicht es aus, dass die Cloud-Anbieter zusichern, die Daten in Deutschland zu verarbeiten. Darauf kann man sich dann als Kunde auch verlassen. Erst wenn ernste Zweifel bestünden, müsse man ergänzende Informationen einholen und die Erfüllbarkeit des Leistungsversprechens prüfen, so die Richter.

Die Deutsche Bahn hat offenbar nicht nur Probleme auf der Schiene, sondern auch beim Datenschutz: Der Verein Digitalcourage e.V. hat kürzlich Klage eingereicht, weil (u.a.) auch bei Auswahl der Cookie-Banner-Option „Nur erforderliche Cookies“ immer noch Daten an zehn Partner-Unternehmen wie z.B. Adobe in den USA weitergeleitet werden. Im Detail hat sich Mike Kuketz im April mit der App DB Navigator befasst. Im Juni kam auch die Stiftung Warentest zu dem Ergebnis, dass die App mehr Daten als nötig übermittelt.

Zahlreiche Datenschutzbeauftragte der Länder und des Bundes haben vor einigen Tagen Unternehmen und auch öffentliche Stellen aufgefordert, „Google Analytics“ und andere „Tracking“-Angebote nicht ohne Einwilligung einzusetzen. So heißt es: „Wenn Anbieter von in Websites eingebundenen Dritt-Diensten die dort erhobenen Daten auch für eigene Zwecke nutzen, muss hierfür vom Websitebetreiber eine explizite Einwilligung der Nutzerinnen und Nutzer eingeholt werden.“ Dies funktioniere nicht mit einfachen Informationen über sogenannte Cookie-Banner oder voraktivierte Kästchen bei Einwilligungserklärungen. Dazu empfehlen die Datenschutzbeauftragten ihre im Frühjahr 2019 aktualisierte „Orientierungshilfe für Anbieter von Telemedien“.

1) Unternehmen haften für Datenschutzverstöße ihrer Beschäftigten!

Die DSGVO sieht in Artikel 83 vor, dass Unternehmen als Ganzes dafür haften, wenn Beschäftigte – also nicht nur Führungspersonen – gegen den Datenschutz verstoßen, solange es sich nicht um einen Exzess handelt. Das deutsche Recht ist zwar noch nicht an diese europäische Regelung angepasst; da EU-Recht hier aber Vorrang hat, gilt diese Regel dennoch.