Europas Datenschutz in Bewegung

In Episode 165 nehmen Holger und Joerg mehrere aktuelle
Entwicklungen im europäischen Datenschutz unter die Lupe. Zu Gast
ist Prof. Alexander Golland, der seit August an der Hochschule
Osnabrück zum Recht der Informationsgesellschaft, zum Datenschutz
und zum Schutz geistigen Eigentums lehrt. Zuerst geht es um ein
Bußgeld der italienischen Datenschutzbehörde Garante gegen die
US-Firma Character Technologies. Deren Chatbot-Plattform
Character.AI erlaubt es Nutzern, mit virtuellen Charakteren zu
kommunizieren, von Mafia-Bossen bis zu simulierten
Psychotherapeuten. Die Behörde monierte intransparente
Datenschutzhinweise, fehlende italienische Übersetzungen, unklare
Rechtsgrundlagen und mangelhaften Jugendschutz. Mit 158.000 Euro
fiel die Strafe angesichts massiver Vorwürfe und tragischer Fälle
in den USA, bei denen Jugendliche nach Chatbot-Interaktionen Suizid
begingen, aus Sicht der Diskutanten eher milde aus. Ein weiteres
zentrales Thema ist der transatlantische Datenverkehr. Der US
Supreme Court hat entschieden, dass der US-Präsident Mitglieder der
Federal Trade Commission (FTC) auch ohne schwerwiegende
Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als
unabhängige Behörde. Da die Handelsaufsicht eine Rolle im Data
Privacy Framework (DPF) spielt, sorgte das für Aufregung. Alexander
beruhigt jedoch: Der Europäische Gerichtshof (EuGH) habe sich beim
Kippen des Vorgänger-Abkommens Privacy Shield weniger an der FTC
als am fehlenden Rechtsschutz gegen US-Geheimdienste gestört.
Kritischer wäre es, würde auch das Privacy and Civil Liberties
Oversight Board (PCLOB) als abhängig eingestuft. Unternehmen
empfiehlt er dennoch, Standarddatenschutzklauseln als
Fallback-Option vorzubereiten, allerdings mit aufschiebender
Bedingung, um bestehende Haftungsregelungen nicht auszuhebeln. Zwei
aktuelle Entscheidungen des EuGH bringen einige Klarstellungen in
Sachen DSGVO-Auslegung. Im Fall eines niedersächsischen
Haustechnikbetriebs ging es um Daten aus einem privaten eBay-Konto,
die möglicherweise auf unzulässigem Weg beschafft worden waren. Der
EuGH schließt ihre Verwendung als Beweis nicht grundsätzlich aus.
Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden
dürfen und ob sie damit die Rechte der betroffenen Person zu stark
verletzen. Im zweiten Fall prüfte der EuGH eine öffentlich
zugängliche Liste der österreichischen Anti-Doping-Agentur. Darin
standen Namen, Sportarten, Verstöße und Sperrzeiten. Die bloße
Information, dass jemand gedopt hat, gilt dem Urteil zufolge nicht
automatisch als Gesundheitsinformation. Anders kann es aussehen,
wenn die konkrete Substanz oder ihre Anwendung Rückschlüsse auf
eine Erkrankung zulässt. Die Veröffentlichung kann zwar dem Schutz
des fairen Sports dienen, muss aber angemessen bleiben und
Besonderheiten einzelner Fälle berücksichtigen. Zum Schluss fällt
in der Podcast-Episode der Blick auf den geplanten
"Digital-Omnibus", mit dem die EU ihre Datenschutz- und
Digitalregeln vereinfachen will. Sinnvolle Vorschläge wie eine
gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle
treffen auf alte Konflikte um Cookies, personalisierte Werbung und
Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten
liegen bei zentralen Punkten auseinander. Alexander rechnet deshalb
höchstens mit einem "Reförmchen", vorausgesetzt, die Verhandler
Rat, Parlament und Kommission klammern die besonders umstrittenen
Cookie-Regeln aus.