Berliner Datenschutzbeauftragte verhängt Bußgeld gegen Immobiliengesellschaft

/in /von

P r e s s e m i t t e i l u n g vom 5. November 2019

Am 30.Oktober 2019 hat die Berliner Beauftragte für Datenschutz und Informationsfreiheit gegen die Deutsche Wohnen SE einen Bußgeldbescheid in Höhe von rund 14,5 Millionen Euro wegen Verstößen gegen die Datenschutz-Grundverordnung (DS-GVO) erlassen.

Bei Vor-Ort-Prüfungen im Juni 2017 und im März 2019 hat die Aufsichtsbehörde festgestellt, dass das Unternehmen für die Speicherung personenbezogener Daten von Mieterinnen und Mietern ein Archivsystem verwendete, das keine Möglichkeit vorsah, nicht mehr erforderliche Daten zu entfernen. Personenbezogene Daten von Mieterinnen und Mietern wurden gespeichert, ohne zu überprüfen, ob eine Speicherung zulässig oder überhaupt erforderlich ist. In begutachteten Einzelfällen konnten daher teilweise Jahre alte private Angaben betroffener Mieterinnen und Mieter eingesehen werden, ohne dass diese noch dem Zweck ihrer ursprünglichen Erhebung dienten. Es handelte sich dabei um Daten zu den persönlichen und finanziellen Verhältnissen der Mieterinnen und Mieter, wie z. B. Gehaltsbescheinigungen, Selbstauskunftsformulare, Auszüge aus Arbeits- und Ausbildungsverträgen, Steuer-, Sozial- und Krankenversicherungsdaten sowie Kontoauszüge.

Nachdem die Berliner Datenschutzbeauftragte im ersten Prüftermin 2017 die dringende Empfehlung ausgesprochen hatte, das Archivsystem umzustellen, konnte das Unternehmen auch im März 2019, mehr als eineinhalb Jahre nach dem ersten Prüftermin und neun Monate nach Anwendungsbeginn der Datenschutz-Grundverordnung weder eine Bereinigung ihres Datenbestandes noch rechtliche Gründe für die fortdauernde Speicherung vorweisen. Zwar hatte das Unternehmen Vorbereitungen zur Beseitigung der aufgefundenen Missstände getroffen. Diese Maßnahmen hatten jedoch nicht zur Herstellung eines rechtmäßigen Zustands bei der Speicherung personenbezogener Daten geführt. Die Verhängung eines Bußgeldes wegen eines Verstoßes gegen Artikel 25 Abs. 1 DS-GVO sowie Artikel 5 DS-GVO für den Zeitraum zwischen Mai 2018 und März 2019 war daher zwingend.

Die Datenschutz-Grundverordnung verpflichtet die Aufsichtsbehörden sicherzustellen, dass Bußgelder in jedem Einzelfall nicht nur wirksam und verhältnismäßig, sondern auch abschreckend sind. Anknüpfungspunkt für die Bemessung von Geldbußen ist daher u. a. der weltweit erzielte Vorjahresumsatz betroffener Unternehmen. Aufgrund des im Geschäftsbericht der Deutsche Wohnen SE für 2018 ausgewiesenen Jahresumsatzes von über einer Milliarde Euro lag der gesetzlich vorgegebene Rahmen zur Bußgeldbemessung für den festgestellten Datenschutzverstoß bei ca. 28 Millionen Euro.

Für die konkrete Bestimmung der Bußgeldhöhe hat die Berliner Datenschutzbeauftragte unter Berücksichtigung aller be- und entlastenden Aspekte die gesetzlichen Kriterien herangezogen. Belastend wirkte sich hierbei vor allem aus, dass die Deutsche Wohnen SE die beanstandete Archivstruktur bewusst angelegt hatte und die betroffenen Daten über einen langen Zeitraum in unzulässiger Weise verarbeitet wurden. Bußgeldmildernd wurde hingegen berücksichtigt, dass das Unternehmen durchaus erste Maßnahmen mit dem Ziel der Bereinigung des rechtswidrigen Zustandes ergriffen und formal gut mit der Aufsichtsbehörde zusammengearbeitet hat. Auch mit Blick darauf, dass dem Unternehmen keine missbräuchlichen Zugriffe auf die unzulässig gespeicherten Daten nachgewiesen werden konnten, war im Ergebnis ein Bußgeld im mittleren Bereich des vorgegebenen Bußgeldrahmens angemessen.

https://www.datenschutz-berlin.de/fileadmin/user_upload/pdf/pressemitteilungen/2019/20191105-PM-Bussgeld_DW.pdf

LbfDI BW: Datenschutz für kleine Betriebe gelockert? Eben nicht!

/in /von

Genau das stimmt nicht!

„Die EU-DSGVO bedeutet für Unternehmen und Internetnutzer einen ziemlichen Aufwand. Kleine Betriebe werden nun entlastet.“

Von den Pflichten der #DSGVO wird gerade nicht entlastet – nur von der Bestellpflicht nach #BDSG
#fail

https://www.deutschlandfunk.de/bundesrat-datenschutz-fuer-kleine-betriebe-gelockert.1939.de.html?drn:news_id=1051225

BSI: Patientendaten im Internet abrufbar

/in /von

Mehrere tausend Patientendaten sind offen im Internet abrufbar. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) wurde über diesen Sachverhalt von IT-Sicherheitsforschern informiert und hat daraufhin die betroffenen medizinischen Einrichtungen anhand der ihm vorliegenden IP-Adressen in Kenntnis gesetzt. In drei Fällen konnte das BSI die Einrichtungen direkt kontaktieren, in 14 weiteren Fällen wurden die jeweiligen Internet-Service-Provider gebeten, ihre Kunden anhand der IP-Adressen zu identifizieren und zu informieren. Zudem hat das BSI 46 internationale Partnerorganisationen über den Sachverhalt informiert. Das BSI darf nach derzeitiger Rechtslage diese Daten nicht abrufen oder analysieren, auch nicht um die Betreiber der ungesicherten Webserver zu identifizieren. Nach Einschätzung des BSI sind die Patientendaten zugänglich, weil einfachste IT-Sicherheitsmaßnahmen wie ein Zugriffsschutz durch Nutzername und Passwort oder Verschlüsselung nicht umgesetzt wurden. Dem BSI liegen keine Informationen vor, dass die Patientendaten tatsächlich in krimineller Absicht abgeflossen sind.

Dazu äußert sich BSI-Präsident Arne Schönbohm wie folgt:
„Wenn selbst bei so sensiblen Daten wie Röntgenaufnahmen, Mammografien oder MRT-Bildern grundlegende IT-Sicherheitsmaßnahmen missachtet werden, zeigt das, dass IT-Sicherheit noch immer nicht den Stellenwert einnimmt, den sie verdient. Wir müssen als Gesellschaft begreifen, dass die großen Digitalisierungsprojekte, die uns so viele Vorteile bringen können, nur gelingen werden, wenn sie von Anfang an sicher gestaltet werden. Nur wenn die Bürgerinnen und Bürger Vertrauen in die Sicherheit ihrer Daten haben, wird die Digitalisierung erfolgreich sein.“

Zur Stellungnahme: https://www.bsi.bund.de/DE/Presse/Pressemitteilungen/Presse2019/Patientendaten_im_Internet_170919.html

Sensible Daten sollten nicht in die Hände Unbefugter geraten. Deshalb hat es sich das BSI als nationale Cyber-Sicherheitsbehörde zur Aufgabe gemacht, Standards für den digitalen Verbraucherschutz zu etablieren: https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/digitaler_Verbraucherschutz/digitaler_Verbrauscherschutz_node.html

Auch interessant: Kryptografische Verfahren im Gesundheitswesen – die elektronische Gesundheitskarte: https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/Verschluesselung/Verschluesseltkommunizieren/Gesundheitskarte/elektronische_gesundheitskarte_node.html

Zur Meldung von faz.net: Röntgenbilder waren wohl ungeschützt online einsehbar: https://www.faz.net/aktuell/wirtschaft/diginomics/datenleck-roentgenbilder-waren-wohl-ungeschuetzt-online-einsehbar-16388646.html

Bürger-Cert: 90.000 Mastercard-Kunden im Netz

/in /von

Rund 90.000 Datensätze von Nutzerinnen und Nutzern des Mastercard-Bonusprogramms „Priceless Specials“ waren in einem Online-Forum einsehbar. Grund dafür war ein Datenleck, wie Spiegel Online schreibt. Einsehbar waren Informationen wie E-Mail-Adressen, Telefonnummern und auch Teile der Kartennummern. Das Unternehmen hat die Plattform des Bonusprogramms in Deutschland vorerst geschlossen.

Öffentlich einsehbare E-Mail-Adressen sind ein begehrter Startpunkt für Phishing-Attacken durch Betrüger im Internet. Wie Bürgerinnen und Bürger sich vor Phishing schützen können, erklärt BSI für Bürger in Text und Video: https://www.bsi-fuer-buerger.de/BSIFB/DE/Risiken/SpamPhishingCo/Phishing/phishing.html

Zur Meldung von Spiegel Online: Datenleck bei Mastercard-Bonusprogramm: https://www.spiegel.de/netzwelt/web/mastercard-datenleck-bei-bonusprogramm-a-1282697.html

EuGH: wer den „Like-Button“ auf seiner Webseite einbindet, ist auch verantwortlich!

/in /von

Pressemitteilung des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit vom 30.07.2019

Bereits das Urteil des Europäischen Gerichtshofs (EuGH) zum (Weiter-)Betrieb von Facebook-Fanpages vom 5. Juni 2018 bestätigte die langjährige Rechtsauffassung der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK). In ihrem Beschluss vom 5. September 2018 wies die DSK darauf hin, dass Fanpage-Betreiber gemeinsam mit Facebook für die Verarbeitung personenbezogener Daten verantwortlich sind. Die Rechtmäßigkeit der Datenverarbeitung und die Einhaltung der Grundsätze für die Verarbeitung personenbezogener Daten aus Art. 5 Abs. 1 DS-GVO müssen Fan-Pagebetreiber zusammen mit Facebook nachweisen können. In seinem gestrigen Urteil entschied der EuGH nun, dass die Betreiber, die einen „Gefällt-mir“- Knopf (Like-Button) auf ihrer Webseite einbinden, für die damit verknüpfte Datenübertragung mitverantwortlich sind. Allein der Aufruf einer Webseite, die diese Schaltfläche hat, macht es möglich, Ihr Surfverhalten an Facebook zu übertragen, selbst dann, wenn Sie kein Facebook-Konto besitzen. Das ist gefährlich! Insbesondere deshalb, weil anhand nur weniger Likes ein Persönlichkeitsprofil und Ihr Verhalten prognostiziert werden kann. Allein zehn Likes genügen dafür, dass Facebook Sie besser kennt als Ihre Arbeitskollegen. Und derartige Profile werden auch gern gekauft – von wem und zu welchem Zweck auch immer. Künftig müssen Sie als Nutzer sogenannter Like-Buttons nun zuvor Social-Media-Dienste explizit mit einem weiteren Button aktivieren und damit zustimmen, dass Daten an die Betreiber der sozialen Netzwerke übertragen werden. Dr. Lutz Hasse meint dazu: „Natürlich ist die explizite Aktivierung nervig – soll auch so sein! Denn jetzt müssen Sie bewusst entscheiden, ob Sie Ihre Privatsphäre von Facebook verhökern lassen wollen.“

Die Pressemitteilungen des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit können hier abgerufen werden.

FaceApp – Da bleibt einem das Lachen im Halse stecken

/in /von

Pressemitteilung des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit vom 19.07.2019

Niemand möchte gern bloßgestellt werden und sein Gesicht verlieren, doch jeder, der FaceApp nutzt, riskiert genau dies.

FaceApp erlebt gerade ein Hype und ist auf Platz 1 der App-Store Charts. Doch Vorsicht ist geboten:

Nicht nur, dass jedes Foto, welches verändert werden soll, auf die Server des russischen Anbieters zur Bearbeitung hochgeladen wird. Zudem möchte die App, soweit bisher feststellbar, Zugriff auch auf alle Bilder des Endgeräts nehmen… :-((

Kommen auch KI-Algorithmen zum Einsatz, die anhand der biometrischen Merkmale des Gesichts Persönlichkeitsprofile und damit auch Verhaltensprognosen erstellen? Der App-Hersteller lässt sich jedenfalls umfangreiche Rechte am übertragenen User-Content einräumen und User-Content ist weitaus mehr als nur das Bild.

Werden die Bilder und ihre Folgenutzungen bei Bedarf gelöscht? Fraglich, jedenfalls nicht vor Ort kontrollierbar…

Das eigene Gesicht mit FaceApp altern zu lassen oder anderweitig zu verändern mag noch lustig sein. Doch spätestens, wenn Bilder von anderen Personen, Ex-Partnern, Geschäftspartnern, Konkurrenten verändert und anschließend z.B. über soziale Medien geteilt werden, hört der Spaß auf und die Rechtsprobleme beginnen!

Dr. Lutz Hasse (TLfDI): „Das bisschen Spaß kann die Nutzer in vielerlei Hinsicht teuer zu stehen kommen. Die App ist auch nicht kostenlos – alle Nutzer zahlen in großem Umfang mit ihren biometrischen (!!) Daten, die zu Zwecken genutzt werden dürfen, von denen die Nutzer leider oft keine Vorstellung haben. Vielleicht einfach mal Verzicht üben und auf die Privatsphäre achten.“

Die Pressemitteilungen des Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit können hier abgerufen werden.

Download FaceApp – Da bleibt einem das Lachen im Halse stecken als PDF

GDD: Stellungnahme zum zweiten Datenschutzanpassungs- und Umsetzungsgesetz (2. DSAnpUG)

/in /von

Bundestag beschließt 2. DSAnpUG und ändert damit die Bestellpflicht betrieblicher Datenschutzbeauftragter gemäß § 38 BDSG

Nach der 2017 beschlossenen Novellierung des Bundesdatenschutzgesetzes (BDSG) hat der Bundestag nun auch das bereichsspezifische Datenschutzrecht des Bundes an die seit Mai 2018 geltende Datenschutz-Grundverordnung (DS-GVO) angepasst.

Mit dem in den frühen Morgenstrunden des 28.06.2019 vom Bundestag verabschiedeten zweiten Datenschutzanpassungs- und Umsetzungsgesetz (2. DSAnpUG) werden zahlreiche Gesetze mit den Vorgaben der DS-GVO in Einklang gebracht. Das Gesetz nimmt in 154 Fachgesetzen fast aller Ressorts Änderungen vor. Zu den Regelungsschwerpunkten zählen dabei insbesondere Anpassungen von Begriffsbestimmungen und von Rechtsgrundlagen für die Datenverarbeitung sowie Regelungen zu den Betroffenenrechten.

Zudem schafft das verabschiedete Gesetz auch Änderungen im BDSG. Mit dem Argument des Bürokratieabbaus hatte die Unionsfraktionen die Forderung in die Gesetzesberatung eingebracht, die Grenze der Bestellpflicht für einen betrieblichen Datenschutzbeauftragten (§ 38) auf 50 Personen zu erhöhen. Im Rahmen eines Kompromisses haben sich die Koalitionsfraktionen aber schlussendlich doch auf eine Erhöhung von 10 auf 20 Personen, die ständig personenbezogene Daten verarbeiten, verständigt. Die Gesellschaft für Datenschutz und Datensicherheit e.V. (GDD) hat die über ein Jahr andauernde Diskussion rund um das 2. DSAnpUG fortlaufend begleitet und dabei vor allem warnend auf die Entscheidungsträger in den Koalitionsfraktionen eingewirkt, dass eine im Raum stehende Veränderung der Formulierung („Personen, die überwiegend mit der Datenverarbeitung befasst sind“) die Bestellpflicht erheblich aufweichen könnte. Gerade über den kontinuierlich betriebenen Kontakt zu den zuständigen Berichterstattern für Datenschutz konnten wir überzeugend darlegen, dass die überlegte Änderung der Formulierung dazu führen würde, dass ein Beschäftigter dann mehr als 50 Prozent seiner Arbeitszeit für die Datenverarbeitung aufwenden müsste, um „überwiegend“ mit der Datenverarbeitung befasst zu sein. Diese Voraussetzung würden nur die wenigsten Mitarbeiter in Unternehmen erfüllen.

Die Befreiung von der Bestellpflicht eines Datenschutzbeauftragten im Betrieb führt jedoch nicht zu einem Wegfall anderer datenschutzrechtlicher Pflichten. Am Ende wird mit dem Wegfall eines Datenschutzbeauftragten nicht Bürokratie, sondern Kompetenz und Sachverstand abgebaut. Auch ohne gesetzliche Bestellpflicht sind Unternehmen und Einrichtung gut beraten, einen betrieblichen Datenschutzbeauftragten zu benennen.

Neben technischen Änderungen am BDSG und dem Hinzufügen des § 86 BDSG (Verarbeitung personenbezogener Daten für Zwecke staatlicher Auszeichnungen und Ehrungen) wird auch der für die Praxis so bedeutsame § 26 BDSG an einer Stelle verändert. In § 26 Abs. 2 Satz 3 BDSG entfällt das Schriftformerfordernis für die Einwilligung im Beschäftigtenverhältnis und wird durch die Wörter „hat schriftlich oder elektronisch zu erfolgen“ ersetzt.

Neben dem verabschiedeten Gesetz fordert die Große Koalition die Bundesregierung zudem auf, Art. 85 DS-GVO (Verarbeitung zu journalistischen Zwecken) auch für die Bereiche auszugestalten, die nicht Gegenstand der Mediengesetze der Länder sind. Damit etwa Blogger und andere freie Journalisten rechtssicher arbeiten können, soll diese Regelungslücke zeitnah geschlossen werden. Angesichts der Bedeutung und Komplexität des Vorhabens wird dies nun aber im Rahmen eines separaten Gesetzgebungsverfahrens erfolgen, um das ansonsten sehr technische Anpassungsgesetz mit seinen zahlreichen Änderungsartikeln nicht zu überfrachten.

Das 2. DSAnpUG ist von Seiten des Bundesrates zustimmungsbedürftig und tritt am Tag nach der Verkündung im Bundesgesetzblatt in Kraft.

Siehe hierzu:
https://www.bundestag.de/dokumente/textarchiv/2019/kw26-de-datenschutz-649218

Bundesatenschutzbeauftragte Ulrich Kelber warnt vor Datenschutz-Aufweichung

/in /von

Die DSGVO ist auch nach einem Jahr Praxistest weiter in der Diskussion. Der Datenschutzbeauftragte Ulrich Kelber warnt vor Bestrebungen, geltende Regelungen zu verwässern. Dabei gebe es noch viel zu tun.

Der Bundesbeauftragte für den Datenschutz Ulrich Kelber hat vor einer Aufweichung der Vorschriften in kleinen und mittleren Unternehmen gewarnt. »Das wäre Kompetenzabbau, nicht Bürokratieabbau«, sagte Kelber am Montag auf dem Datenschutz-Kongress DuD in Berlin. Der bürokratische Aufwand sei immer auch »eine Art Totschlagsargument«. Er würde eher den Vorschlag des Hamburger Datenschutzbeauftragten Johannes Caspar aufgreifen und den Datenschutz ins Grundgesetz aufzunehmen.

Niedersachsen hatte im April einen Antrag zur Änderung datenschutzrechtlicher Bestimmungen in den Bundesrat eingebracht. Auch die FDP hatte sich wiederholt dafür starkgemacht, die Vorgaben zu lockern. Unter anderem sehen die Vorgaben vor, dass Betriebe ab zehn Mitarbeitern einen eigenen Datenschutzbeauftragten bestellen müssen.

Kritiker wenden ein, dass dies kleine Unternehmen sowie Vereine überproportional belaste. »Wir tun dem Datenschutz keinen Gefallen, wenn wir den Kanuverein und den Handwerksbetrieb behandeln wie Facebook oder die Schufa«, sagt etwa der stellvertretende FDP-Fraktionsvorsitzende Stephan Thomae.

Kelber warnt hingegen vor einem Verwässern der Vorschriften. Dies käme einer Schwächung des Datenschutzes gleich, entgegnete Kelber. Er begrüße es deshalb sehr, dass entsprechende Forderungen auch von der Agenda des Bundesrates genommen worden seien.

Nach einem Jahr Datenschutzgrundverordnung (DS-GVO) sei eine abschließende Bilanz noch nicht möglich, betonte Kelber. Die Verordnung sei aber gewissermaßen aus der »Krabbelphase« heraus. Die DS-GVO greift seit dem 25. Mai 2018. Wie viele Unternehmen und Behörden jedoch trotz einer zweijährigen Übergangsphase auf den Start nicht vorbereitet gewesen seien, sei bemerkenswert gewesen.

Nach Einschätzung des Landesbeauftragten in Baden-Württemberg, Stefan Brink, sind die massiven Sanktionsandrohungen das effektivste Mittel der DS-GVO. Damit seien zahlreiche weitere Unternehmen mit ins Boot geholt worden. Mit der europäischen Grundverordnung haben die Behörden erstmals die Möglichkeit, auch empfindliche Bußgelder zu verhängen. Zuvor habe es nur wenige Bußgelder in Millionenhöhe gegeben. Die heutigen Mittel seien nun »wirksam, verhältnismäßig und abschreckend«. Auf europäischer Ebene sei aber nun auch Angleichungen nötig, fordert Brink. Die tägliche Praxis der Datenschutzbehörden sei in den jeweiligen Ländern noch sehr unterschiedlich.

In der Rückschau nach einem Jahr DS-GVO hätten sich viele Befürchtungen wie etwa eine drohende Abmahnwelle nicht bewahrheitet, betonte Kelber. »Es gab viele Warnungen von Menschen, die wenig Ahnung hatten.« Auch heute noch werde von Abmahnwellen gesprochen. »In meiner Behörde sind 17.000 Beschwerden eingegangen, fünf davon betrafen eine Abmahnung.« Auch angeblich existenzbedrohte Lehrer, die Bilder ihrer Schüler gemacht haben, gebe es nicht. Datenschutz sei dagegen zum Exportschlager geworden und habe endgültig die Kleinstaaterei in Europa beendet.

Zugleich gebe es aber auch weiterhin »erkennbare Schwächen«, räumte Kelber ein und warb um Geduld. Auch der »ewige Landfriede« gegen mittelalterliche Fehden sei vor 500 Jahren eine revolutionäre Idee gewesen, die erst ihre Zeit gebraucht habe, um sich effektiv durchzusetzen. So müssten etwa Hersteller noch stärker in Sachen Datenschutz in die Verantwortung genommen werden. Auch Verfahren der Künstlichen Intelligenz gehörten auf den Prüfstand. So ließen sich etwa mit Algorithmen für die Profilbildung von Nutzern nicht nur Anzeigen zielgerichteter platzieren, sondern auch Verhalten vorhersagen. Auch der Staat könne in Versuchung kommen, Ideen davon zu übernehmen.

Ein Jahr Datenschutzgrundverordnung

/in /von

Seitdem die Datenschutzgrundverordnung (DS-GVO) vergangenen Mai EU-weit zur Anwendung kam, sind bei den zuständigen Behörden knapp 150.000 Beschwerden über Verstöße gegen die neuen Datenschutzregeln eingegangen.

Beitrag auf spiegel-online: https://www.spiegel.de/netzwelt/netzpolitik/dsgvo-jahresbilanz-fast-150-000-beschwerden-wegen-datenschutzverstoessen-a-1268745.html

Datenschützer werfen Bundesregierung Desinteresse beim Start der DS-GVO vor

/in /von

In einem für die Bundestagsfraktion der Grünen erstellten Gutachten (PDF) gehen der frühere Bundesdatenschutzbeauftragte Peter Schaar und der frühere Berliner Landesdatenschutzbeauftragte Alexander Dix hart mit der Bundesregierung und den Landesregierungen ins Gericht. Sie hätten sich »nur sehr begrenzt um eine Klärung offener Rechtsfragen und um die Vermittlung von Kenntnissen über den neuen europäischen Rechtsrahmen zum Datenschutz bemüht«, schreiben sie. Dabei sei das gerade in Deutschland wichtig gewesen, weil die Rechtsunsicherheit hierzulande durch Spezialregelungen besonders ausgeprägt gewesen sei. Stattdessen sei es bei den Gesetzgebungsaktivitäten als auch in der Öffentlichkeitsarbeit darum gegangen, »die Position der datenverarbeitenden öffentlichen Stellen und der Unternehmen zu stärken«. Als Beispiel führen die beiden Datenschützer die für Digitales zuständige Staatsministerin Dorothee Bär an, die für eine »smarte Datenkultur« plädiert und beklagt hatte, in Deutschland existiere ein »ein Datenschutz wie im 18. Jahrhundert«. Es sei der Eindruck erzeugt worden, Datenschutz bedrohe den Wohlstand, verhindere sinnvolle IT-Projekte und erschwere das Leben von Vereinen und kleinen Unternehmen.

Die beiden ehemaligen Datenschutzbeauftragten Peter Schaar und Alexander Dix werfen der Bundesregierung vor, sie habe gegen die DS-GVO gearbeitet, statt sich um die Klärung offener Rechtsfragen und die Wissensvermittlung zu kümmern. Die Umsetzung und Anwendung der Verordnung sei unambitioniert erfolgt.

Unbegründete Behauptungen und zweifelhafte Rechtsauslegungen haben dem Gutachten zufolge dazu geführt, dass die DS-GVO als innovationsbremse und Bürokratiemonster wahrgenommen wurde. So sei zum Beispiel der Eindruck erweckt worden, für jede Datenverarbeitung sei die Einwilligung der Betroffenen erforderlich. Dabei erfolge die Verarbeitung personenbezogener Daten durch Unternehmen zumeist im Zusammenhang von Vertragsverhältnissen und zu deren Erfüllung sei die Verarbeitung natürlich rechtmäßig – auch ohne zusätzliche Einwilligungserklärung.

Zudem habe das Nebeneinander von ePrivacy-Richtlinie und DS-GVO im Zusammenspiel mit der »lang anhaltenden Arbeitsverweigerung der Bundesregierung« zu erheblicher Unsicherheit geführt. Im Telemediengesetz seien die Vorgaben zur Verwendung von Cookies und ähnlichen Tracking-Methoden nicht nachvollzogen worden – das Tracking zu Werbezwecken sei »entgegen der klaren europarechtlichen Vorgabe« auch ohne Einwilligung weiterhin erlaubt. Die einzige Lösung sei eine Neufassung des TMG, doch die Bundesregierung lasse »keinerlei Absicht erkennen, hier tätig zu werden.«

Auch die heraufbeschworene Abmahnwelle im Zusammenhang mit der DS-GVO ist laut den Schaar und Dix ausgeblieben. Dagegen habe sich der Eindruck aufgedrängt, dass in den Medien eine Kampagne gegen Datenschutz gefahren wurde – beispielhaft nennen die beiden Experten hier die Schlagzeilen rund um Probleme mit Namen auf Klingelschildern, der Nutzung von Visitenkarten oder die Anrede von Kunden mit Namen. In all diesen Fällen habe sich durch die DS-GVO die Rechtslage nicht geändert, heißt es in dem Gutachten. Auch die Behauptung, mit der DS-GVO würde für Unternehmen und Vereine die unverhältnismäßige Verpflichtung eingeführt, einen Datenschutzbeauftragten zu bestellen, sei irreführen – die habe es auch vorher schon gegeben.

Die Zwischenbilanz zur Umsetzung und Anwendung der DS-GVO in Deutschland fällt in dem Gutachten »überwiegend negativ« aus. Bund und Länder hätten die Öffnungsklauseln »teilweise überstrapaziert« und teilweise »Bestimmungen unter Verstoß gegen das unionsrechtliche Wiederholungsverbot schlicht in das deutsche Recht übernommen«. Zum Teil seien die Gesetzgebungsaufträge schlicht nicht erfüllt worden.

»Das Hauptanliegen des Bundesgesetzgebers war und ist es offenbar, den rechtlichen Status quo in Sachen Datenschutz in Deutschland auch nach dem Inkrafttreten der Grundverordnung soweit wie möglich unverändert zu lassen. Diesem unambitionierten Beispiel sind die Landesgesetzgeber weitgehend gefolgt«, schreiben Schaar und Dix, die allerdings auch Kritik an der DS-GVO selbst üben. Dort seien beispielsweise die automatisierte Entscheidungsfindung und das Profiling nur unzureichend regelt. Sie fordern etwa eine »Pflicht zur Aufklärung über die involvierte Logik bei Systemen der künstlichen Intelligenz und des maschinellen Lernens« und dass »derartige Systeme nicht eingesetzt werden dürfen, wenn der Verantwortliche die involvierte Logik selbst nicht versteht und sie deshalb der betroffenen Person nicht erklären kann«. Zudem mache auch der zunehmende Einsatz von Sensorik etwa im Internet der Dinge und die wachsende Bedeutung von Big-Data-Anwendungen eine Überarbeitung der DS-GVO notwendig, weil sie die garantierten Grundsätze des Datenschutzes auszuhöhlen drohten.