Auslegungssache – der c't-Datenschutz-Podcast

heise
  • 0.0 (0)
  • TECHNOLOGY
  • TWICE MONTHLY
Auslegungssache – der c't-Datenschutz-Podcast Podcast

Sie möchten beim Thema Datenschutz auf dem Laufenden bleiben, aber keine seitenlange Literatur wälzen? Dann wenden Sie sich vertrauensvoll an unser Juristen-Redakteurs-Duo. Alle 14 Tage bespricht c't-Redakteur Holger Bleich mit Joerg Heidrich aktuelle Entwicklungen rund um den Datenschutz. Joerg ist beim c't-Mutterschiff Heise Medien als Justiziar für das Thema zuständig und hat täglich mit der europäischen Datenschutz-Grundverordnung (DSGVO) zu tun. Wechselnde Gäste ergänzen das Duo. Mehr Infos gibts unter https://heise.de/-4571821

  1. 7 HR AGO

    Datenschutz-Minenfeld Microsoft 365?

    Kaum ein Thema ist in der Datenschutzwelt so umstritten wie der Einsatz von Microsoft 365. Kritiker sehen in der kaum überschaubaren Produktwelt von Microsoft jede Menge Reibungspunkte mit der DSGVO, zumal Kernprodukte wie Sharepoint und Teams reine Clouddienste sind und damit personenbezogene Daten auf Microsofts Servern in Irland oder gar in den USA lagern. Europäische Datenschutzbehörden arbeiten sich seit Jahren an den Datenschutzerklärungen und Vertragsgestaltungen ab, die Microsoft anbietet. Die deutsche Datenschutzkonferenz (DSK) hatte sich zuletzt Ende 2022 nach langen Untersuchungen darauf festgelegt, dass sie zu diesem Zeitpunkt einen datenschutzkonformen Betrieb von Microsoft 365 nicht nachweisen konnte. Der niedersächsische Landesdatenschutzbeauftragte dagegen attestierte dem Landesinnenministerium im April 2024 eine akzeptable Vereinbarung mit Microsoft, sodass die Landesbehörden zumindest Microsoft Teams einsetzen können, ohne Konflikte mit der zuständigen Datenschutzbehörde befürchten zu müssen. I, Episode 118 beschäftigen sich Holger und Joerg mit dem gesamten Komplex aus Datenschutzperspektive. Ziel ist es, zu Antworten zu kommen, die Behörden und Unternehmen einen Weg weisen können. Dafür haben sie mit Dr. Olaf Koglin eine ausgesprochenen Spezialisten für genau diese Thematik hinzugezogen. Jurist Olaf berät mit seinem Unternehmen Legal Check Behörden und Unternehmen in Sachen Datenschutz, die Microsoft 365 rechtssicher einsetzen möchten. Zunächst definieren die drei mögliche Knackpunkte, die immer wieder angesprochen sind: Microsofts Verarbeitungsvertrage, das Data Protection Addendum (DPA), und die darin aufgeführten Zwecke, Verantwortlichkeiten und Datentransfers. Kritiker monieren unter anderem, dass Daten in die USA abfließen, die Verwendung von Telemetriedaten ungenügend geklärt ist, die IT-Sicherheit nicht ausführlich beschrieben ist und Microsoft die Verarbeitungszecke nicht abschließend darstellt. Dann geht es um die Stellungnahmen von Aufsichtsbehörden, an denen Olaf teilweise einiges auszusetzen hat. Er erklärt außerdem, worum es bei einem gerade laufenen Verfahren zum Thema in der EU selbst geht. Generell ist sich Olaf aber sicher, dass man die gesamte Microsoft-365-Produktwelt datenschutzkonform einsetzen kann. Neue Probleme enstünden allerdings gerade mit der allmählichen Einführung der KI-Copiloten in die Produkte.

    1h 6m

  2. 6 SEPT

    Zusammen stärker? - Die gemeinsame Verantwortung

    In Episode 117 dreht sich fast alles um das große Wort "Verantwortung". Diese ist ein Grundpfeiler des Datenschutzrechts: Wo personenbezogene Daten verarbeitet werden, muss jemand existieren, der für die Mittel und die Zwecke verantwortlich zeichnet. Diese reale oder juristische Person muss die Rechte von Betroffenen berücksichtigen, sorgt für rechtmäßige technische Maßnahmen und erfüllt die Compliance-Anforderungen. Nur ist es in der komplexen technischen Welt so, dass eher selten ein Verantwortlicher alles in der eigenen Hand hat. In der Regel werden Datenverarbeitungen ausgelagert, sei es zu einem Cloud-Anbieter oder eine Marketingagentur. Meist vereinbaren die Partner eine Auftragsverarbeitung, bei der der Verarbeiter nur Deligierter, aber kein Verantwortlicher ist. Mitunter kommt es aber auch vor, dass sich mehrere Parteien die Verantwortung zur Verarbeitung teilen. das sogenannte "Joint Controlling" nach Art. 26 DSGVO. Und hier wird es kompliziert. c't-Redakteur Holger und heise-Verlagsjustiziar Joerg besprechen dieses komplexe Feld mit Dr. Johannes Marosi. Johannes arbeitet als Rechtsanwalt für IT- und Datenschutzrecht bei Graf von Westphalen in Frankfurt am Main. Insbesondere aber hat er seine Dissertation über das Thema der gemeinsamen Verantwortung im Datenschutzrecht geschrieben. Johannes bestätigt, dass die alleinige Verantwortung heute selten vorkommt, da die meisten Unternehmen externe Dienstleister für verschiedene Aufgaben hinzuziehen. Ein typisches Beispiel für vertraglich gefestigte Auftragsverarbeitung ist das Webhosting, bei dem ein Cloud-Anbieter Kundendaten speichert und verarbeitet. Bei der gemeinsamen Verantwortung müssen die beteiligten Parteien in einem sogenannten Joint-Controller-Agreement festlegen, wer welche Aufgaben und Pflichten übernimmt. Johannes betont, dass es wichtig sei, derlei Vereinbarungen detailliert auszuarbeiten, um spätere Konflikte zu vermeiden. Im Gespräch wird deutlich, dass die gemeinsame Verantwortung komplex und oft schwer zu handhaben ist. Obwohl die DSGVO rechtliche Rahmenbedingungen vorgibt, bleibt vieles in der Praxis unklar. Unternehmen müssten daher sorgfältig prüfen, wie sie ihre Datenschutzverantwortung organisieren und dokumentieren, resümiert Johannes.

    1h 5m

  3. 23 AUG

    Markus Beckedahl: "Eine bessere digitale Welt ist möglich!"

    Die Auslegungssache weitet wieder einmal den Blick und schaut auf die Entwicklung der Digital- und Netzpolitik aus bürgerrechtlicher Perspektive. Zu Gast ist diesmal Markus Beckedahl. Wohl kaum jemand in Deutschland hat von zivilgesellschaftlicher Seite in den vergangenen 20 Jahren die Debatten intensiver verfolgt und mitgeprägt als er. Markus hat 2003 das Blog netzpolitik.org gegründet und war dort bis 2022 Chefredakteur. Im März dieses Jahres hat er den Staffelstab gänzlich übergeben. Außerdem ist er Mitinitiator der jährlichen Konferenz re:publica, deren Programm er noch heute kuratiert. Und nicht zuletzt hatte er 2010 den Verein "Digitale Gesellschaft" mitgegründet, dessen Vorsitzender und Sprecher er bis 2015 war. Im Gespräch mit Holger und Joerg schildert Markus, wie es sich anfühlte, als er 2015 erfuhr, dass gegen ihn wegen Landesverrats ermittelt wurde. Damals hatte netzpolitik.org Dokumente des Bundesamtes für Verfassungsschutz online gestellt, in denen es um Pläne zur stärkeren Überwachung des Internets ging. Markus, der inzwischen neue Projekte gestarten hat, blickt insgesamt positiv auf die netzpolitische Entwicklung in Deutschland zurück. "Manchmal grüßt schon das Murmeltier und die Forderungen nach mehr Überwachung wiederholen sich. Aber wenn wir nichts gemacht hätten wäre alles viel schlimmer", ist er sich sicher. Im digitalpolitschen Bereich helfe es, in langen Linien zu denken und zu schauen, wo man Steine in den Weg legt, um Fehlentwicklungen zu verhindern. Denn, so resümiert Markus: "Eine bessere digitale Welt ist möglich!"

    1h 7m

  4. 9 AUG

    Der niedersächsische LfD im Gespräch

    Seine Ernennung verzögerte sich etwas, doch nun ist der niedersächsische Landesdatenschutzbeauftragte Denis Lehmkemper fast ein Jahr im Amt. Im c't-Datenschutz-Podcast spricht er mit Holger und Joerg über über den Prozess seiner Berufung und dieses erste Jahr. Direkt nach Amtsantritt habe er eine "gut aufgestellte Behörde vorgefunden" und "erst einmal viel zugehört". Lehmkemper vertritt eine kooperative Linie. Seinen Worten zufolge möchte er Dinge ermöglichen und lösungsorientiert arbeiten. In der Episode erläutert er beispielsweise, wie seine Behörde zum Ergebnis kam, dass Microsoft Teams in der niedersächsischen Landesverwaltung anders als in einigen anderen Bundesländern eingesetzt werden darf. Man habe gemäß der Linie der Datenschutzkonferenz mit Microsoft für Niedersachsen die Datenschutzvereinbarungen desn Konzerns angepasst. Um Lösungen für den Einsatz von KI von Wirtschaft und Verwaltung im Bundesland zu finden, hat Lehmkemper einen eigenen Expertenkreis eingerichtet. Zu den zwölf Teilnehmern zählen Vertreter aus der niedersächsischen Wirtschaft und Wissenschaft, der öffentlichen Verwaltung und Datenschutzexperten aus dem gesellschaftlichen Umfeld. Sie sollen "technische und rechtliche Gestaltungsvorschläge" erarbeiten. Dieser von Lehmkemper auch KI-Rat genannte Kreis wird sich zum ersten Mal am 14. August treffen.

    1h 9m

  5. 26 JUL

    Die KI-Verordnung: Ein Compliance-Monstrum!

    Nun ist es soweit: Nach jahrelangen Verhandlungen tritt die KI-Verordnung der EU am 1. August tatsächlich in Kraft, weil sie am 14. Juli im Amtsblatt der EU veröffentlicht wurde. Allerdings kommt sie erst nach Übergangsfristen schrittweise zur Anwendung. Verbote von KI-Kategorien, etwa von Social Scoring, treten nach sechs Monaten in Kraft, die Verpflichtungen für allgemeine KI-Modelle (General Purpose AI, GPAI) gelten nach 12 Monaten und die Regeln für hochriskante KI-Systeme gelten nach 36 Monaten. Am meisten Arbeit dürften Unternehmen und Behörden die umfangreichen Transparenz- und Dokumentationspflichten machen. Im c't-Datenschutz-Podcast werfen Redakteur Holger Bleich und heise-Verlagsjustiziar einen genaueren Blick auf diese - je nach Risikokategorie - unterschiedlich scharfen Regeln. Zur Seite steht ihnen dabei Aurea Verebes. Sie berät und auditiert für die Plesnik GmbH Unternehmen, die KI implementieren möchten oder bereits im Unternehmen nutzen. Außerdem hat sie einen Praxisleitfaden für Datenschutzbeauftragte verfasst, in dem sie sich bereits ausführlich mit den neuen Anforderungen der KI-Verordnung befasst hat. Verebes erläutert die Grundstruktur der Verordnung und erklärt, was hinter dem risikobasierten Ansatz steckt. Außerdem erfahrt Ihr von ihr, wo in diesem Regulierungssystem die generative KI, also GPAI-Systeme, verortet ist. Schnell kommen die drei Diskutanten zur Erkenntnis, dass es sich bei der KI-Verordnung vor allem um ein echtes Compliance-Monstrum handelt. So ist beispielsweise in vielen Einsatzfällen von KI nicht nur eine Datenschutz-Folgeabschätzung erforderlich, sondern auch eine Risikoeinschätzung. Für Berater und Auditoren entsteht hier eine wahre Goldgrube.

    1h 12m

  6. 12 JUL

    Aus dem Alltag externer Datenschutzbeauftragter

    Interne oder externe Datenschutzbeauftragte? Darüber sprechen wir mit unserem Gast, Julian Lang, der als Berater für Datenschutz und Informationssicherheit bei Althammer & Kill in Hannover tätig ist. Julian erzählt uns über seinen Alltag als externer Datenschutzbeauftragter, der für verschiedene Unternehmen tätig ist.​ Wir, das ist in dieser Folge neben Joerg als Gastmoderator Niklas Mühleis, der bereits bei uns zu Gast war und als Co-Host unseres neuen Heise-Podcasts "Vorsicht, Kunde!" zu verbraucherrechtlichen Fragen Stellung nimmt. Niklas vertritt Holger, der in dieser Woche seinen wohlverdienten Urlaub in südlichen Gefilden verbringt.​ Gemeinsam wird im Rahmen unserer Rubrik "Bußgeld der Woche" das Vorgehen der Datenschutzbehörden bei Datenklau-Fällen besprochen. Das sind solche Fälle, in denen sich Polizisten oder auch Ladendetektive die Daten meist von Frauen abrufen, um diese zu kontaktieren. Dazu herrschte allgemeines Erstaunen darüber, dass hier meist nur sehr geringe Bußgelder festgelegt werden.​ Im Hauptteil der Episode ging es dann um die Rollen und Aufgaben von externen Datenschutzbeauftragten. Lang ist seit vielen Jahren in diesem Bereich tätig und erzählt über seinen Werdegang, die Herausforderungen im Umgang mit den Unternehmen und nicht zuletzt über skurrile Erlebnisse in seinem Job.​ Die Folge endet mit einem Vergleich zwischen den Vor- und Nachteilen der Berufung eines externen Datenschutzbeauftragten gegenüber einer internen Beauftragung. Zum Abschluss haben die Gäste die Möglichkeit, einen Wunsch an die gute Datenschutzfee zu formulieren.​

    1h 14m

  7. 28 JUN

    Ländle unter Aufsicht

    Dass eine Landesdatenschutzbehörde weitgehend geräuschlos von einer kompetenten Hand in die nächste übergeben wird, ist mitterweile keine Normalität mehr. In Baden-Württemberg hat das funktioniert: Vor rund einem Jahr, am 1. Juli 2023, trat Prof. Tobias Keber die Nachfolge von Stefan Brink als Landesbeauftragter für den Datenschutz und die Informationsfreiheit (LfDI) Baden-Württembergs an. In Episode 112 des c't-Datenschutz-Podcasts plaudert Keber über sein erstes Amtsjahr und erläutert, wie er seine Behörde sieht. Der studierte Jurist war zuvor von 2012 bis 2023 Professor für Medienrecht und Medienpolitik an der Hochschule der Medien Stuttgart. Keber ist außerdem seit seit 2015 Vorsitzender des wissenschaftlichen Beirats der Gesellschaft für Datenschutz und Datensicherheit (GDD). Eine Schwerpunkt der Tätigkeit seiner Behörde legte er im ersten Jahr auf die Betrachtung von Künstlicher Intelligenz (KI) aus datenschutzrechtlicher Perspektive. In der Episode spricht sich Keber wie viele seiner Kolleginnen und Kollegen dafür aus, dass hierzulande die deutschen Datenschutzbehörden als Aufsicht für die bald in Kraft tretende KI-Verordnung fungieren. Der Behördenleiter fordert einen pragmatischen Blick auf generative KI und erzählt, dass er schon heute dutzende KI-Projekte öffentlicher Stellen im Ländle datenschutzrechtlich beurteilen muss.

    1h 8m

  8. 14 JUN

    Datenleaks verhindern!

    Auslegungssache meets Passwort! In der aktuellen Episode trifft der c't-Datenschutz-Podcast auf sein neues Pendant aus der Security-Sparte von heise. Zu Gast sind nämlich Christopher Kunz und Sylvester Tremmel, die beiden Hosts des Podcasts "Passwort". Naturgemäß geht es deshalb diesmal weniger um Auslegungen der DSGVO als um handfeste IT-Sicherheitsprobleme, deretwegen bei Nutzern oder Unternehmen Datenabfluss droht. Christopher und Sylvester schätzen zunächst ein Bußgeld der Datenschutzbehörde Singapurs ein: Wegen eines schwachen Admin-Passworts kam es bei einer Lernplattform zu einem Einbruch und zum Abzug der Daten von über 500.000 Nutzern. Die beiden schätzen die beschriebene Schwachstelle ein und geben Tipps für gutes Passwort-Management sowie Policies in Unternehmen. Ihr Credo: Eine Policy allein genügt nicht, es braucht technische Maßnahmen, um die Mitarbeiter zu starken Passwörtern zu bringen. Im Hauptteil des der Episode erläutern Christopher und Sylvester, wie Nutzernamen-Passwort-Kombinationen gestohlen werden und was jeder einzelne dagegen tun kann. Sie schildern, auf welchen Kanälen derlei Daten gehandelt werden. Außerdem schätzen sie die Qualität und Wirkung von Leakcheckern wie "Have I Been Pwned" ein. Kann man ihnen trauen? Und wie sollte man sie nutzen, auch als Unternehmen?

    1h 3m
See All (119)

About

Sie möchten beim Thema Datenschutz auf dem Laufenden bleiben, aber keine seitenlange Literatur wälzen? Dann wenden Sie sich vertrauensvoll an unser Juristen-Redakteurs-Duo. Alle 14 Tage bespricht c't-Redakteur Holger Bleich mit Joerg Heidrich aktuelle Entwicklungen rund um den Datenschutz. Joerg ist beim c't-Mutterschiff Heise Medien als Justiziar für das Thema zuständig und hat täglich mit der europäischen Datenschutz-Grundverordnung (DSGVO) zu tun. Wechselnde Gäste ergänzen das Duo. Mehr Infos gibts unter https://heise.de/-4571821

Information

More From heise

You Might Also Like

To listen to explicit episodes, sign in.

Stay up to date with this show

Sign in or sign up to follow shows, save episodes and get the latest updates.
Select a country or region

Africa, Middle East, and India

Asia Pacific

Europe

Latin America and the Caribbean

The United States and Canada