Datenschutzrecht

Beim 8. Symposium zur Informationsfreiheit stellte Prof. Niko Härting die Vorschläge des Deutschen Anwaltvereins zur Reform des Informationsfreiheitsgesetzes vor. Die zentralen Inhalte seines Impulsvortrags sind nun im Tagungsband veröffentlicht.

Quantencomputer gelten oft noch als Zukunftsmusik. Die FINMA macht jedoch deut-lich, dass die damit verbundenen Cyberrisiken bereits heute in das Risikomanage-ment beaufsichtigter Institute gehören. Mit ihrer neuen Guidance erwartet die Auf-sichtsbehörde, dass Banken, Versicherungen und weitere Finanzmarktteilnehmer den Übergang zu quantensicheren Verschlüsselungsverfahren strategisch planen. Wer erst handelt, wenn leistungsfähige Quantencomputer verfügbar sind, könnte bereits zu spät sein.

Dr. Ole Schröder untersucht, wie Rechtsunsicherheit bei der Verarbeitung personenbezogener Daten Innovationen hemmt und die Entwicklung datenbasierter Geschäftsmodelle und KI-Anwendungen in Europa erschwert.

In seinem Geleitwort zum Casebook European Data Law ordnet Dr. Ole Schröder die Bedeutung des Rates der Europäischen Union für die Entstehung und Weiterentwicklung des europäischen Datenschutzrechts ein.

In Folge 185 von „Follow the Rechtsstaat“ sprechen Prof. Niko Härting und Dr. Stefan Brink über aktuelle Entscheidungen und Debatten zwischen Licht und Schatten. Zunächst geht es um einen Vorschlag, Demonstrationen und Gegendemonstrationen zeitlich voneinander zu trennen. Anschließend diskutieren die beiden die geplante Reform der Datenschutzaufsicht. Weitere Themen sind eine Entscheidung des Europäischen Gerichtshofs zu einer schwedischen Datenbank mit Informationen über Strafverfahren sowie die Veröffentlichung personenbezogener Daten von Sportler:innen bei Dopingverstößen.

In Folge 184 von „Follow the Rechtsstaat“ sprechen Prof. Niko Härting und Dr. Stefan Brink über bekannte Streitfragen, die erneut rechtlich und politisch aktuell werden. Im Mittelpunkt stehen die Beschwerde von Reporter ohne Grenzen gegen den Einsatz von Spyware durch den Bundesnachrichtendienst, Datenschutzrisiken bei der Nutzung von Cloudlösungen durch öffentliche Bibliotheken und internationale Datentransfers. Außerdem diskutieren die beiden, welche Folgen aktuelle Entwicklungen in den USA für den Angemessenheitsbeschluss zum EU-US Data Privacy Framework haben könnten.

In Folge 183 von „Follow the Rechtsstaat“ diskutieren Prof. Niko Härting und Dr. Stefan Brink aktuelle Reformvorschläge zum Datenschutzrecht und zur Informationsfreiheit. Ausgangspunkt ist ein Aufsatz zur Rechtsprechung des Europäischen Gerichtshofs im Datenschutzrecht. Anschließend geht es um die „Stuttgarter Impulse“ zur Modernisierung des Datenschutzes und den geplanten „Einer-für-alle“-Ansatz für Entscheidungen der Aufsichtsbehörden. Zum Abschluss befassen sich die beiden mit den Plänen der Bundesregierung zum Bürokratieabbau und der möglichen Abschaffung des Informationsfreiheitsgesetzes.

In Folge 47 des Data Navigator Podcasts widmen sich Dr. Martin Schirmbacher und Dr. Hubertus von Rönne einem Thema, das seit Inkrafttreten des Data Act immer wieder als vermeintliches Gegenargument gegen Datenherausgabeansprüche angeführt wird: die DSGVO. Anlass ist unter anderem die dritte Denkwerkstatt der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zum Data Act, die in der Vorwoche stattgefunden hat. Die Ausgangslage ist eindeutig: Der Data Act gilt ausdrücklich auch für personenbezogene Daten. Im Konfliktfall hat die DSGVO Vorrang. In der Praxis entsteht ein solcher Konflikt jedoch deutlich seltener, als häufig angenommen wird. Entscheidend ist dabei der sogenannte relative Personenbezug. Ob Daten personenbezogen sind, wird nicht abstrakt beurteilt, sondern aus der Perspektive des jeweils Verantwortlichen. Am Beispiel eines Busfahrers veranschaulichen Dr. Martin Schirmbacher und Dr. Hubertus von Rönne diesen Grundsatz: Für die Berliner Verkehrsbetriebe haben die Fahrerdaten einen Personenbezug, da sie wissen, wer zu welchem Zeitpunkt welchen Bus gefahren hat. Für den Bushersteller, der lediglich Fahrzeugdaten ohne persönliche Anmeldung erhält, fehlt diese Zuordnung in der Regel. Bei einem Windpark kann es umgekehrt sein: Der Hersteller kennt seine Wartungsmitarbeitenden, während der Windparkbetreiber sie üblicherweise nicht identifizieren kann. Daraus folgt: Derselbe Datensatz kann für eine Partei personenbezogen sein und für eine andere nicht. In Konstellationen nach dem Data Act ist es häufig gerade der Datenempfänger, der keinen Personenbezug herstellen kann. Entsteht beim Empfänger dennoch ein Personenbezug, benötigt dieser eine Rechtsgrundlage nach der DSGVO. In Betracht kommen insbesondere berechtigte Interessen. Der Hersteller kann sich für die Datenübermittlung wiederum auf Art. 6 Abs. 1 Satz 1 lit. c DSGVO stützen, da die Weitergabe aufgrund einer rechtlichen Verpflichtung aus dem Data Act erfolgt. Abschließend ordnen Dr. Martin Schirmbacher und Dr. Hubertus von Rönne die Zuständigkeiten der Aufsichtsbehörden ein. Für Beschwerden im Zusammenhang mit dem Data Act ist grundsätzlich die Bundesnetzagentur zuständig. Sobald personenbezogene Daten betroffen sind, muss sie die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit einbinden. Die Landesdatenschutzbehörden bleiben daneben für klassische Verstöße gegen die DSGVO zuständig – beispielsweise, wenn ein Landwirt beanstandet, dass ein Hersteller seine personenbezogenen Daten verarbeitet.

Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) hat seinen 33. Tätigkeitsbericht veröffentlicht und setzt damit wichtige Signale für die zukünftige Datenschutzpraxis in der Schweiz. Der Bericht zeigt, welche Themen die Aufsichtsbe-hörde aktuell beschäftigen und in welchen Bereichen Unternehmen künftig mit einer verstärkten datenschutzrechtlichen Prüfung rechnen müssen. Besonders im Fokus stehen Künstliche Intelligenz, internationale Datenbearbeitungen sowie die prakti-sche Umsetzung des revidierten Datenschutzgesetzes. Unternehmen sollten den Tä-tigkeitsbericht daher nicht nur als Rückblick verstehen, sondern als Orientierungshilfe für ihre Datenschutz-Compliance.