Europas Datenschutz in Bewegung

Mit Alexander Golland, Holger Bleich und Joerg Heidrich
In Episode 165 nehmen Holger und Joerg mehrere aktuelle Entwicklungen im europäischen Datenschutz unter die Lupe. Zu Gast ist Prof. Alexander Golland, der seit August an der Hochschule Osnabrück zum Recht der Informationsgesellschaft, zum Datenschutz und zum Schutz geistigen Eigentums lehrt.

Zuerst geht es um ein Bußgeld der italienischen Datenschutzbehörde Garante gegen die US-Firma Character Technologies. Deren Chatbot-Plattform Character.AI erlaubt es Nutzern, mit virtuellen Charakteren zu kommunizieren, von Mafia-Bossen bis zu simulierten Psychotherapeuten. Die Behörde monierte intransparente Datenschutzhinweise, fehlende italienische Übersetzungen, unklare Rechtsgrundlagen und mangelhaften Jugendschutz. Mit 158.000 Euro fiel die Strafe angesichts massiver Vorwürfe und tragischer Fälle in den USA, bei denen Jugendliche nach Chatbot-Interaktionen Suizid begingen, aus Sicht der Diskutanten eher milde aus.

Ein weiteres zentrales Thema ist der transatlantische Datenverkehr. Der US Supreme Court hat entschieden, dass der US-Präsident Mitglieder der Federal Trade Commission (FTC) auch ohne schwerwiegende Verfehlungen entlassen darf. Die FTC gilt damit nicht mehr als unabhängige Behörde. Da die Handelsaufsicht eine Rolle im Data Privacy Framework (DPF) spielt, sorgte das für Aufregung.

Alexander beruhigt jedoch: Der Europäische Gerichtshof (EuGH) habe sich beim Kippen des Vorgänger-Abkommens Privacy Shield weniger an der FTC als am fehlenden Rechtsschutz gegen US-Geheimdienste gestört. Kritischer wäre es, würde auch das Privacy and Civil Liberties Oversight Board (PCLOB) als abhängig eingestuft. Unternehmen empfiehlt er dennoch, Standarddatenschutzklauseln als Fallback-Option vorzubereiten, allerdings mit aufschiebender Bedingung, um bestehende Haftungsregelungen nicht auszuhebeln.

Zwei aktuelle Entscheidungen des EuGH bringen einige Klarstellungen in Sachen DSGVO-Auslegung. Im Fall eines niedersächsischen Haustechnikbetriebs ging es um Daten aus einem privaten eBay-Konto, die möglicherweise auf unzulässigem Weg beschafft worden waren. Der EuGH schließt ihre Verwendung als Beweis nicht grundsätzlich aus. Gerichte müssen aber selbst prüfen, ob sie die Daten verwenden dürfen und ob sie damit die Rechte der betroffenen Person zu stark verletzen.

Im zweiten Fall prüfte der EuGH eine öffentlich zugängliche Liste der österreichischen Anti-Doping-Agentur. Darin standen Namen, Sportarten, Verstöße und Sperrzeiten. Die bloße Information, dass jemand gedopt hat, gilt dem Urteil zufolge nicht automatisch als Gesundheitsinformation. Anders kann es aussehen, wenn die konkrete Substanz oder ihre Anwendung Rückschlüsse auf eine Erkrankung zulässt. Die Veröffentlichung kann zwar dem Schutz des fairen Sports dienen, muss aber angemessen bleiben und Besonderheiten einzelner Fälle berücksichtigen.

Zum Schluss fällt in der Podcast-Episode der Blick auf den geplanten "Digital-Omnibus", mit dem die EU ihre Datenschutz- und Digitalregeln vereinfachen will. Sinnvolle Vorschläge wie eine gemeinsame Meldestelle für Datenschutz- und IT-Sicherheitsvorfälle treffen auf alte Konflikte um Cookies, personalisierte Werbung und Browser-Signale gegen Tracking. Parlament und Mitgliedstaaten liegen bei zentralen Punkten auseinander. Alexander rechnet deshalb höchstens mit einem "Reförmchen", vorausgesetzt, die Verhandler Rat, Parlament und Kommission klammern die besonders umstrittenen Cookie-Regeln aus.