Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/2526 Danke!
[Musik]
hallo schönen Nachmittag hier auf der
nordx Bühne das ist die Nerds der
oberreheinische Tiefebene und
xhein auf dem CCC Camp 23 wir haben ein
wunderschönen tollen Vortrag von Alva
Freunde und
Tobias kber Keber es tut mir echt leid
so Tobias ist seit 1 Juli der neue
Landesdatenschutzbeauftragte in
badenwürtenemberg und Alva arbeitet dort
auch und ist Leiter für die Technik und
sie erzählen uns gemeinsam was die
mythten und Fakten aus 5 Jahren
gdpr so richtig ja so richtig ah eine
Sache noch genau für in Stream es gibt
diese Bühne hat ein Hashtag das heißt
#ccc 23 Nord x also CCC Camp 23 Nord x
wenn ihr im feldiv das benutzt dann
können die Fragen hinterher auch hier
vorgelesen werden und beantwortet
werden ja hallo zusammen auch von
unserer Seite und wir wir starten gleich
durch starten gleich durch ja ja XFS
gdpr 5 Jahre best of Mythen ne das ist
so ein bisschen die Idee es gibt sehr
viele Mythen rund um den Datenschutz
rund um die datenschutzgrundverordnung
oder gdpr
und wir haben uns da heute einfach mal
so ein paar ausgesucht zum Teil sehr
klassische und aber auch etwas ganz
aktuelle zum auch aktuell und die
Weltherrschaft die Welt die
Weltherrschaft das Tentakel ja der
Datenschutz will die Weltherrschaft
vielleicht aber vielleicht ist das auch
ein Mythos vielleicht ist auch ein
Mythos genau deswegen müssen wir uns das
ganze ein bisschen näher angucken ja was
ist eigentlich Mythos ja kann man schön
differenzieren im Gegensatz zu Logos
also Mythos behauptet was was gar nicht
stimmt um es einfach zu sagen und ähm ja
der Gegensatz ist Logos also das Recht
dass man auf etwas anwenden kann auf
einen bestimmten Fall und
ja das steht also im Gegensatz zu diesem
narrativ also der der Mythos hat ein
narrativ und das versuchen wir heute
gemeinsam D mal ein paar Beispiele zu
uns anzuschauen und zu sagen stimmt es
eigentlich und was sagt das Recht
eigentlich dazu wenn man das ganze mal
drüberlet also diese xfils die werden
schon lange gesammelt damals als ich
noch aktiv bei damals hieß das noch
Twitter
äh war jetzt bin ich da ja nicht mehr
aktiv sondern das ganze schläft und
befülle massodon und das fedifers ähm ja
wir haben damals bei Twitter schon
gesammelt xfalls gdpr mit ganz vielen
Beispielen äh gab es einen eigenen
Hashtag dazu
und aus diesem Fundus ja haben wir heute
das ein oder andere mitgebracht das
erste da will ich euch gleich einbinden
das ist eine sehr schöne äh Frage weil
sie z Teil rechtlich ist zum Teil auch
sehr technisch äh und jeder hat
vielleicht dazu eine Idee das war
relativ am Anfang also 2018 2019 20 seit
2018 ist die dsgvo unmittelbar anwendbar
in Kraft ist sie ja schon länger und
gerade am Anfang gab's da sehr sehr viel
Unkenntnis Verwirrung und jetzt da kommt
der Datenschutz ja reiß die
Weltherrschaft an sich und nichts geht
mehr so und da gab es ein schönes Schild
das hing im Feyer einer Bank so und dann
muss ich ein bisschen erklären wie das
Setting war das Setting war Bank Foyer
äh und in diesem Foyer gab es ein
Geldautomat und ein
Kontoauszugsdrucker so und früher gab es
neben dem Kontoauszugsdrucker in diesem
Foyer in diesem Vorraum der Bank auch
noch einen
Mülleimer so ähm und ä jetzt gab's die
dsgvo und den Mülleimer nicht mehr und
warum gab es den Mülleimer nicht mehr
das hat die Bank dann erklärt
und die Bank
die sagt jetzt hier aus
Datenschutzgründen ist das zur Verfügung
Stellen eines Mülleimers nicht gestattet
wir bitten nun höflich darum ihren Müll
nicht im Feyer der Bank zu entsorgen so
und was dahinter steckt ist tatsächlich
folgendes kann man sich nicht ausdenken
ist aber wohl passiert Menschen ziehen
ihren ihren
Kontoauszug schauen drauf oder auch
nicht oder auch nicht
500 € und was machen die die nehmen den
Kontoauszug und stecken ihn in den
Mülleimer der vorher noch da war und
jetzt sagt die Bank man muss Menschen
schützen
und wir sind und das ist dann schon die
Frage die man vielleicht dann
diskutieren kann ist die Bank eigentlich
dafür verantwortlich dass ein Mensch
einen
Kontoauszug zieht und dann noch in der
Bank in den Papierkorb wirft der
natürlich öffentlich zugänglich also
jeder kann da reingreifen das muss man
natürlich dazu sagen das war jetzt kein
very safe Mülleimer wo man da one kein
Schredder oder sowas das war ein
hundsordinärer Papierkorb ja so und
jetzt ist an der die Stelle die Frage
ist die Bank dafür eigentlich noch
verantwortlich denn vielleicht für alle
Nerds als Erklärung
nach
dsgvo richten sich die Vorschriften
immer an den sogenannten
Verantwortlichen und der verantwortliche
ist nicht
äh
ähm ja irgendwie der Herr Müller aus der
itabteilung oder sowas sondern das
Unternehmen also in diesem Falle die
Bank ist also die Bank dafür
verantwortlich für den Mülleimer wenn da
jemand was reinwirft ja ist auch
definiert natürlich in der dsgvo wer der
verantwortlich hier ist das ist
irgendjemand der über die Zwecke und die
Mittel der Datenverarbeitung entscheidet
ja und jetzt ist die große und spannende
Frage wenn wir jetzt also ein Kunden
haben der das da wegwirft wer ist der
verantwortliche der Kunde oder die
Bank ja wie seht ihr es
ja genau ist das also es ist der Kunde
der hier den schwerpk
hat der der Datenverarbeitung er
entscheidet das ob er seine Daten preis
gibt indem er das Ding ohne es zu
zerreißen einfach in den Papierkorb
steckt von daher das geht mit der Bank
gar nicht nach Hause ja das heißt man
hätte diesen Papierkorb auch stehen
lassen können das wäre hätte man stehen
lassen können genau außer sie sagen
natürlich ihr müsst eure Kontoauszüge da
reinschaffen ihr dürft die nicht mit
nach Hause nehmen dann ja hätte ich
jetzt aber ein Problem mit hätte ich
auch ein Problem mit
ja ja ähm eine Frage da hinten einmal
Mikro da hinten weil sonst hört der
Stream nicht genau hallo ist das Leeren
des Mülleimer dann Datenverarbeitung
ha natürlich ja das das good good point
das Lehren des Mülleimers der im foryier
steht da hätte ich wieder grundsätzlich
dann schon da würde ich sagen die Bank
muss hier technisch organisatorische
Maßnahmen also für den ganzen Mülleimer
die kann das nicht einfach ins Altpapier
geben sondern muss das ganz normal unter
den den Vorgaben die ist DAF auch
technische Natur gibt wie klein man
schreddern muss und so weiter das würde
ich an der Stelle dann schon sagen
zumindest wenn regelmäßig würde ich
jetzt sagen wenn regelmäßig darin
personenbezogene Daten entsorgt werden
wenn es jetzt einmal auf der Straße
irgendwo ein Mülleimer ist an dem
irgendjemand was sensibles reinschreibt
dann würde jetzt nicht der Stadt die
Aufgabe aufbürden aber wenn es denn
direkt ne wenn häufiger vorkommt das war
wohl tatsächlich so kann man sich wie
gesagt nicht ausdenken aber ja nächster
Mythos wir haben übrigens auch nachher
noch ein extra Block für Fr Wagen ne
also ne wenn wir jetzt an der Stelle wir
haben nachher noch ein bisschen Zeit
also hoffe ich zumindest alles ein
bisschen Augen halte hier der nächste
Mythos geschützt werden Daten
Datenschutz schützt Daten könnte man ja
sagen ne das ist so ein
debattenklassiker da will ich jetzt auch
nicht in die Tiefe gehen aber äh das ist
unter den Datenschützern die
schutzgutdebatte was ist eigentlich
Datenschutz geht's um
Persönlichkeitsrechte geht's um privacy
ist privacy dasselbe wie Datenschutz und
ist natürlich nicht so informationelle
Selbstbestimmung ist das alles dasselbe
äh wir wollen da jetzt nicht in die
dogmatischen Tiefen abtauchen aber diese
schutzgutdebatte gibt es aber einfach
gesagt geschützt werden nicht Daten
sondern geschützt werden Menschen das
ist schon mal ein ganz wichtiger Punkt
ja wenn ihr da Interesse habt an der
schutzgutdebatte da gibt es den Winfried
weil der sich damit schon sehr sehr
lange befasst und schöne Kacheln gebaut
hat äh das man kann man jetzt hier
schlecht sehen was alles sozusagen unter
dem Datenschutz subsummiert werden kann
aber da wollen wir jetzt nicht in die
dogmatische Tiefe gehen und da kommt
jetzt dann schon schon das erste etwas
technischere them ich komme jetzt mal in
die Kamera hallo
Stream ja ganz häufig haben wir immer
wieder mal die Aussage wir haben hier
ein Datum eine Telefonnummer und die
hchen wir und deswegen ist das ein
anonymes Datum weil ich kann ja aus dem
Hash nicht mehr die Telefonnummer
zurückkriegen was sagt ihr stimmt das
Nein sagt jemand ja nein keiner sagt ja
ja also hier ein Zeile ihr da nicht
lesen könnt sch 256 von der
Telefonnummer wie lange braucht es zu
berechnen ich weiß nicht wie viel
Milliarden hasches kann man aktuell sch
26 berechnen mit normaler Hardware ich
glaube selbst mit dem Rechner da hinten
sind schon paar Milliarden pro Sekunde
kann man sich ausrechnen wie viele
Telefonnummern haben wir probiere ich
alle durch Brut Force zack habe ich in
einer Sekunde aus dem Hash die
Telefonnummer zurückgerechnet in
Anführungsstrichen also nö ist natürlich
immer noch ein Person bezogenes Datum
wenn ich eine Telefonnummer häche das
gleiche gilt für eine E-Mailadresse
genauso weil die E-Mailadresse ja in der
Regel nicht zufällig ausgewürfelt ist
sondern
na ja ich kann mir auch eine Liste von
E-Mailadressen besorgen und die dann
entsprechend gegen den Hash prüfen also
Hashes sind keine personenbezogenen
keine anonymen Daten Hashes sind in der
Regel immer noch personenbezogene Daten
wenn ihr also mal bei eurem Arbeitgeber
oder sonst wo auf diese Diskussion stößt
und ein juristischer Kollege sagt oh wir
haben wir einen Trick da können wir mit
den Daten noch irgendwas machen aber sie
sind ja gar nicht der personenbezogen nö
es sind weiterhin personenbzung Daten da
ist eine
Frage das wären dann noch
pseudonymisierte Daten oder man könnte
sie als Pseudonyme Daten ansehen das
kommt ein bisschen sicherlich auch mal
auf den Kontext drauf an aber es sind
bestenfalls Pseudonyme Daten
genau gibt es eine irgendwie eine Liste
was explizit personenbezogen ist sowas
wie Anzahl der Kinder ja Einkommens
Bracket da da komm da komm nachher noch
noch noch eine Story dazu also
grundsätzlich ist alles Personen bezogen
was irgendwie auf eine Person oder
teilweise auf eine Gruppe von Personen
zurückzuführen zurückführbar ist es ist
gerade ein Papier in der Mache was genau
hier die Abgrenzung zu anonym noch mal
darstellt auf europäischer Ebene im
Prinzip kann man das sagen was in der
dsgvo auch in Erwägungsgrund steht dass
tatsächlich m alles mit dem wenn man
eine einzelne Person rausgreifen kann
ist es auf jeden Fall ein
personenbezoges Datum also ein zufällig
ausgewürfelter Cookie mit einem mit
einer ID die irgendjemand von dem hier
zugeordnet ist aber man nicht weiß wem
ist ein Person bezunges Datum weil es
einer einzelnen Person zugeordnet ist ja
auch das ist dann ein Pseudonym das ist
ein ganz klares Pseudonym vielleicht ein
relativ starkes wenn die Gruppe groß
genug ist aber es ist dann immer noch
ein personenbezunges Datum
okay aner Zeit machen wir einfach weiter
oder wir gehen weiter und wir wir kommen
zu fast einem meiner lieblingsmythen
Datenschutz
tötet dieser Mythos den gibt's in
verschiedenen Abwandlung entweder so
entweder so schön Datenschutz tötet das
ist schon ne das ist griffig ja es gibt
so so bisschen weich gespülter
Datenschutz behindert die
Patientenversorgung Datenschutz
behindert Forschung also
unterschiedlichen Ausprägungen kommt das
immer wieder vor ja und da muss man
natürlich sehr genau hinschauen ist da
was dran
es gab einen sehr schönes Battle ich
weiß nicht ob man das sieht das hat
unsere Behörden interterne
memebeauftragte generiert dieses Bild da
Boxen zwei Menschen die eine ist links
die Vorsitzende des Ethikrates Frau Büch
und rechts mein Vorgänger Stefan Brink
der Landesdatenschutz beauauftragte
baravu bis letztes Jahr bis zum er eren
formal oder oder bis zum bis zum 31.12
ja ja und
was hat sie gesagt sie hat gesagt wir
kommen in Deutschland in der Forschung
nicht weiter er hat insbesondere Corona
gezeigt das würde alles nicht
funktionieren und
sie hat dann auch ja ich sag mal
publikumswirksam
gab's im
Handelsblatt unter anderem und größeren
Beitrag
sie hat gesagt es gäbe eine und jetzt
wird's richtig spannend ähm ethisch
begründbare Pflicht zur Nutzung von
Daten also was sie macht ist Ethik gegen
recht ausspielen das finde ich schon mal
strukturell sehr interessant
und also man man müsse viel mehr Daten
nutzen und das ginge eben das ist die
These mit dem Datenschutz so wie er
momentan ist nicht ne also man kann
nicht forschen ja da hat Stefan Brink
schon interveniert und gesagt dass ist
alles Quatsch
und das das schöne ist ich habe mal ein
bisschen geforscht dieses narrativ das
geht lange also vor die dsgvo ja das ist
gar kein dsgvo Mythos
Datenschutz und
gesundheitsdatenforschung geht alles
nicht 2011 gab's ja schon ein fachpaper
da hatten wir noch keine dsgvo sondern
ja das alte
Bundesdatenschutzgesetz und da gab es in
einer medizinischen Fachzeitschrift
schon einen schönen Beitrag Daten
gesichert patienttt Datenschutz im
Gesundheitswesen ja
ist natürlich alles nicht so richtig
also erstmal muss man hier ein bisschen
genauer hingucken wovon reden wir
eigentlich reden wir vom Datenschutz ähm
oh wo bist du jetzt hingerutscht äh
genau reden wir vom Datenschutz ähm oder
reden wir von der war schon richtig äh
oder reden wir von der ärztlichen
Schweigepflicht äh was etwas anderes ist
was dann auch einmal berufsrechtlich bei
den Ärzten geregelt ist die ärztliche
Schweigepflicht dann sogar
strafrechtlich sanktioniert ist wenn man
dagegen verstößt wenn man also rumläuft
und sagt pass mal auf der Klaus Müller
der ist bei mir in Behandlung und der
hat sich da so eine interessante ähm ja
sexuell übertragbare Krankheit gefangen
das heißt das ist das Strafrecht das wir
schon lange haben ich von also von daher
hat das an der Stelle immer nur bedingt
was mit Datenschutz zu tun und natürlich
man kann Daten verarbeiten also wenn
wenn ich jetzt auf der Straße jemanden
ausbluten sehe nach dem Verkehrsunfall
ja und ich muss jetzt in irgendeiner
Weise sehr schnell rauskriegen welche
Blutgruppe hatte er denn und so weiter
ja dann sperrt das datenschut recht
nicht die Notversorgung und das dass ich
also hier die Möglichkeiten habe das
rauszukriegen auf die Schnelle damit der
nicht verblutet da gibt es in der dsgvo
explizit einen
erlaubnisatbestand von daher ja so geht
geht Forschung nicht bewuslose Patient
muss auch nicht
einwilligen Patient muss auch nicht
einwilligen denn ich glaube unser ja
genau der bewusstlose das geht ja gar
nicht ne also von daher das hat die
datenschutzgrundverordnung schon auf dem
Schirm ja so und kann man man überhaupt
nicht mehr forschen es gibt in der dsgvo
ein forschungsprivileg das also sagt bei
der Forschung da kann man Daten
grundsätzlich ein bisschen mehr Nutzen
als das sonst der Fall ist und wir haben
momentan ganz viele
gesetzgeberische ja Moves
sozusagen unter anderem über das
Gesundheitsdaten nutzungsgesetz wo es
jetzt gerade ein Gesetzesentwurf gibt
das heißt ja da bewegt sich auch noch
was von daher
Forschung geht auch mit
Datenschutz
so ähm ja der nächste Datenschutz
verhindert Innovation den mache ich noch
ein bisschen schneller das ist auch
immer so ein narrativ geht alles nicht
hochautomatisiertes fahren geht z.B
nicht weil der Datenschutz um die Ecke
kommt und dann ist das hat er geprägt
deswegen auch hier von der unserer Mem
beauftragten wer ist
das Axel Foss ja und Axel Foss hat wir
haben neulich sogar mit ihm diskutiert
in unserer Behörde in der schönen
Diskussionsrunde kann man sich sogar
angucken kann man sich soar angucken auf
unserem pitube Server ja genau und äh er
ist auch wirklich ein netter Mensch also
aber hat e zum Teil ja Argumente wo man
sagen muss okay das kann man auch anders
sehen er hat z.B öffentlichkeitswirksam
mal gesagt na ja der Reifendruck bei
einem hochautomatisierten Kraftfahrzeug
ist ja ein personenbezogenes Datum und
weil das so ist kann keiner mehr mit
Tesla mithalten und wir sind
abgehängt soweit würde ich an der Stelle
auch nicht gehen ob der Reifendruck ein
personenbezogenes Datum ist in einem
Rechner auf Rädern kann man ja so sagen
kommt's eben schon drauf an ähm welche
Verknüpfungen entstehen also diese
dieser dat das Datum Reifendruck wird
sicherlich erhoben von dem sehr cleveren
Auto ja weil man dann sagt na ja mit mit
einem Bar ist vielleicht schlecht oder
so loszufahren ähm die Frage ist wie
weit ist es verknüpft zu einem nutzenden
dieses Autos oder zum Halter da muss man
auch noch auseinander dividieren wer ist
es denn ist es der Fahrer ist es der
Halter wo gibt's Verknüpfungen da muss
man schon genauer hingucken aber selbst
wenn der Reifendruck ein
personenbezogenes Datum ist dann muss
ich eben gucken ob ich mit
Anonymisierung oder Pseudonymisierung
oder die Daten bleiben im Auto also
lokal werden nicht in der Cloud gepostet
es gibt 1us Lösungen also der
Datenschutz es geht auch automatisiertes
und hochauto hochautomatisiertes und
autonomes fahren mit Datenschutz ist
möglich und abgesehen da gilt natürlich
die dsgvo auch für
Tesla da muss man halt mal gucken dass
die zuständige Aufsichtsbehörde das auch
durchsetzt aber das gilt auch für Tesla
ja s haben ja eine europäische
Niederlassung also und wenn sie keine
hätten dann wären alle zuständig also
dann gilt das auch
ja dann komme ich zu clouddiensten ja
wir dürfen bestimmten clouddienst
vielleicht nutzen nicht nutzen weil
drittstaatentransfer hört man
oft und jetzt gibt ja den
angemessenheits Beschluss
ähm und wir haben mal gesagt so
Microsoft 365 an Schulen ist ein
bisschen schwierig um es mal vorsichtig
zu sagen und haben empfohlen das nicht
weiter weiter zu verfolgen das Projekt
was das Kultusministerium in
BadenWürttemberg gemacht hat und jetzt
kommen Schulen her und sagen jetzt
gibt's ja ein angemessenheitsbeschluss
USA ist wieder sicher und dann dürfen
wir es doch nutzen darf man es
nutzen ja
Nein nö weil
drittlandtransfer in die USA war auch
ein Problem aber von der Liste der
Problemen die wir hatten war das so
klein ja sondern die großen Probleme
waren die Probleme die der Hersteller
sich aus seiner eigenen Entscheidung die
er gefällt hat die damit zusammenhängen
er hat sich entschieden bestimmte
Verarbeitung personenbezogener Daten zu
machen hier sehen wir z.B so ein paar
Beispiele für Telemetriedaten die da so
geflossen sind die wir ein Pilotprojekt
gemessen haben und das ist eine
Entscheidung des Herstellers und wenn
der Herstell sich dazu entscheidet dann
hat es überhaupt nichts damit zu tun ob
drittlandtransfer stattfindet oder nicht
sondern ist eine Frage ob man diese
Daten verarbeiten und an einen Dritten
oder an einen auftragsverarbeiter zu
dessen eigenen Zwecken dann ist er
wieder ein dritter übermitteln darf also
da ändert sich durch die drittstaatentr
transferprematik nichts und es liegt bei
den ganzen clouddiensten wenn man
darüber diskutiert ob etwas zulässig ist
oder nicht selten daran äh oder primär
daran dass Daten in die USA fließen das
auch ein zusätzliches Problem vielleicht
auf den ersten Blick das einfachste aber
es ist eigentlich nicht das
ausschlaggebende Problem sondern viele
Clouddienste erheben einfach sehr viele
Daten und allein die Erhebung dieser
Daten ist problematisch das würde also
auch für den reinen deutschen Hersteller
entsprechend
gelten gut oh da komme ich ja gleich
noch mal hintereinander das war ja gar
nicht so geplant datenschutznerf 2 ja
wer ist schuld an den
cookiebannern der Daten Schutz oder
jemand anderes die webse die
Webseitenbetreiber sehr richtig ganz
genau weil die Webseitenbetreiber auch
hier gilt wieder haben sich entschieden
bestimmte Verarbeitung personenbezogener
Daten durchzuführen nämlich z.B die
Leute an Google Facebook Microsoft was
gibt's noch reddit Twitter
Vkontakte oder oder tiktok zu verpetzen
und wer das machen möchte der braucht
eine Rechtsgrundlage für diese
Verarbeitung und die die Rechtsgrundlage
dafür kann in der Regel nur die
freiwillige und informierte Einwilligung
der betroffenen Personen sein und das
sollen diese Banner erreichen dass das
eine freiwillige und informierte
Entscheidung der betroffenen Personen
ist und wenn man jetzt so ein Banner
sich hier anschaut ist das eine
freiwillige und informierte Entscheidung
die man dann trifft kann man so seine
Zweifel haben ja das das Vorort Publikum
sieht jetzt hier leider nicht viel aber
das ist einer meiner lieblingsbanner die
ich ich jemals gesehen habe in dieser
Variante selbst nachgebaut aber den
gab's so ähnlich auch in echt da war er
noch ein bisschen verwirrender als das
was hier drauf steht also wer es richtig
machen will hat auf seiner Webseite am
besten gar keinen Banner weil ihr
braucht keinen ja also es ist nicht
notwendig für eine Webseite einen Cookie
Banner zu haben wenn ihr keine
Verarbeitungen nutzt die
einwilligungsbedürftig sind Cookies z.B
die notwendig sind dürft ihr Nutzen z.B
Login Cookie aber solltet wenn man es
dann ganz genau anschaut auch bitte kein
Session Cookie machen bevor ihr eine
Session braucht sondern erst dann wenn
halt die Session losgeht weil der User
irgendwas eingestellt hat
Hintergrundfarbe oder sonst was das
bitte dann background color gleich black
speichern und nicht in der User ID mit
einem eindeutigen identifier und so
weiter dann braucht ihr keinen Banner
und keine einwiedigung übrigens wüsste
ich jetzt für das Beispiel vorhin
Google Analytics Facebook tiktok und so
weiter nicht wie einen Banner gelten
würde den ich nicht bemängeln würde also
von daher es ist sehr schwierig einen
solchen Banner zu gestalten deswegen
kann ich nur davon abraten aber die
Verarbeitung im Browser ist auch
Verarbeitung
desers die Verarbeitung im Browser ist
die Verarbeitung des Users ja aber die
die Verarbeitung im Browser ist in
Ordnung aber das Übermitteln an andere
ist in der dsgvo also wir haben zwei wir
haben jetzt kommen wir ins Detail wir
haben zwei Bereiche einmal die dsgvo und
einmal das ttdsg das Teledienste
telekommunikationsdatenschutzgesetz nach
dsgvo brauchen wir eine Verarbeitung
personenbezogener Daten die im Browser
ist deine eigene so aber wenn jetzt
jetzt z. an tiktok geht oder an VK oder
an an an Google oder an wen auch immer
dann ist das eine Übermittlung an den
dritten dafür brauchen wir eine
Rechtsgrundlage aber der Request kommt V
Browser der Request kommt vom Browser
aber der Seitenbetreiber hat den also
hat den das imageeteag oder den iframe
oder was auch immer in die Webseite
eingebaut und deswegen ist der
Webseitenbetreiber gemeint
verantwortlich mit tikt Facebook oder
wem auch immer das eine interessante
Frage ne also wer ist eigentlich
verantwortlich das S gerade diese diese
gemischten Verantwortlichkeiten wo man
wo man sagt aber ich kann doch gar
nichts dafür ich habe eine Infrastruktur
genutzt und es ist doch die
Infrastruktur die den ganzen Kram setzt
ich kann es doch gar nicht ändern man
wird aber unter Umständen trotzdem mit
verantworttig sagt jedenfalls der
eghau e Fash
ID was doch als ganz speziell ist wenn
man jetzt irgendeinen Website baukast
bei ir Bieter nutzt dann ist man noch
mehr als also man ist der kleine
friseursalang um die Ecke und der nimmt
jetzt von
xyz.com den Website Baukasten und wenn
der dann irgendwelche Google Analytics
einbaut und Facebook und Vkontakte oder
sonst was dann ist trotzdem der Friseur
der verantwortliche das ist für den
Friseur ein Problem der dann halt diesen
Dienst dann nicht nutzen ansonsten was
du noch gesagt hast was im Browser
passiert ist wenn Daten auf dem Endgerät
abgelegt werden dann sind wir im ttdsg
und das ist auch wieder
einwiildungsbedürftig das können man
eigenen Vortrag machen wir haben eine
Schulung bei uns kleiner Schleichwerbung
für unser Bildungszentrum B
Bildungszentrum vom lfdi
BadenWürttemberg da gibt's eine
dreieinhalb Stunden Schulung zu dem
Thema den macht eine Kollegin und ich
zusammen und es ist for free das muss
man ja vielleicht das ist der wichtige
Punkt ne so das das das war der
werbeblog das war der werbeblog und dann
machen wir mit dem nächsten Mytos weiter
dann machen wir direkt weiter und zwar
mit Datenschutz ist Täterschutz ja das
das hört man ja auch immer sehr gerne
als satartenschützer und da gibt's
natürlich jetzt 1000 Beispiele dazu an
der man das durchdeklinieren kann ich
habe eins mitgebracht was ich ganz
interessant fand und was ja uns auch in
BadenWürttemberg ein bisschen
umgetrieben hat Falschparker
fotografieren darf man das ja also ich
sehe irgendwo ein Auto und es nervt mich
extrem dass das da parkt und mal nur
ganz kurz irgendwelche Brötchen holt
oder so und ich kann mit meinem Fahrrad
mit meinem Hoverboard oder was auch
immer da jetzt nicht lang fahren ja
nervt so und da mache ich ein Foto und
dann gibt's ja hier sogar schöne
Webformulare bei der Stadt Köln glaube
ich in dem Fall ja da kann man also
direkt ausfüllen welche Straße war das
Bild anhängen ja attach Bild oder es
gibt Portale wie weli wo man ja
verpetzen kann ne um das jetzt mal
sprachlich ein bisschen gemein
auszudrücken und jetzt ist die Frage na
ja ist ja schon eine Datenverarbeitung
die hier vorliegt ja das heißt also ich
fertige ein Bild eines Zeugs an das
falsch parkt und jetzt würden einige von
euch wieder sagen ja sitzt aber keiner
drin ja aber ihr habt natürlich das das
KFZ Kennzeichen als Pseudonym das ein
Pseudonym bei Pseudonymen sind wir
innerhalb des Datenschutzrechts
unterwegs wir sind nur bei der
Anonymisierung draußen
heißt relevant ist dieser Vorgang die
Frage ist jetzt aber ist es verboten zu
verpetzen ja also kann der Datenschutz
sagen ihr dürft das also nicht melden an
die Datenschutzbehörden dass da einer
falsch parkt an die an die Dingsbums an
die an die Polizeibehörde in dem Fall
natürlich genau also ich will als
hobbyjurist habe ich von den Juristen
gelernt die richtige Antwort ist
immer es kommt drauf an ganz genau
jawohl ja ja ja es kommt ja es kommt und
ist es ja auch so ja und hier
interessant die die Bayern also unsere
Kollegen in Bayern also die Länder haben
ihre Landesdatenschutz beauauftragten
und in dem Fall Bayern hat also jetzt
hier einen ähm
verpetzenden einen Bescheid geschickt
und hat gesagt pass mal auf Kollege du
hast gegen den Datenschutz verstoßen
weil darf s nicht verpetzen hast ja hier
Daten ne wo ist deine Rechtsgrundlage
dann hat der verpetzende gesagt das sehe
ich jetzt aber nicht ein diesen Bescheid
da klage ich jetzt mal dagegen
das ist gut so ja wir sind im
Rechtsstaat was Aufsichtsbehörden sagen
und meinen ist kann Gegenstand von von
Gerichtsverfahren sein also waren wir
hier im Verfahren und das
Verwaltungsgericht Ansbach sagt das darf
man das kann man machen das ist die die
die Datenverarbeitung die folgt einem
berechtigten Interesse dafür gibt's
einen eigenen Tatbestand den 6f DSGV und
ist eine Abwägung im Prinzip ja also man
schaut sich an was sind die
widerstreitenden Interessen also die die
Interessen des Halters der entweder
selbst als Fahrer oder halt ein Fahrer
falsch geparkt hat und dass das nicht
rauskommt dieses Interesse versus das
Interesse dass ich momentan mit meinem
Fahrrad auf dem gweg nicht weiterfahren
kann weil es zugeparkt ist ja und das
ist eine interessenabwegung
Verwaltungsgericht Ansbach sagt kann man
machen kann man verpetzen also
Datenschutz ist nicht immer Täterschutz
das wäre mein feing an dieser Stelle was
dann noch so ein bisschen tricky ist
wenn man dann diese Datenverarbeitung
macht auf Basis von 6f dann muss man ja
auch immer informieren wenn man wenn man
ja relevante relevante datenvorgäng hat
da muss man Informationspflichten
abbilden ist ja die Frage okay jetzt
verpetze ich den und dann würde die der
GVO für meine Begriffe recht einfach
gesagt dann auch noch fordern dass ich
ihm einen kleinen Zettel an an die
Windschutzscheibe mache und sage pass
mal auf Kollege ich habe dich verpetzt
ja deine Daten sind auf dem Weg zur
Polizeiinspektion Ansbach oder so ja und
denk mal drüber nach ist vielleicht auch
eine ganz gute Erziehungsmaßnahme ne ist
vielleicht auch eine schöne
Erziehungsmaßnahme ne in alle Richtung
also ist doch
bitte Widerspruch 21
möglich schön schön schön das sind
schöne Fragen noch mit verbunden aber
jedenfalls ähm ja es gibt dann noch
einen Punkt das darf man nicht
verwechseln der lag ja auch bei uns bei
der Behörde vor wenn vi zur kleinen
kausa kannst du noch also wir wir haben
also unsere Abteilung ist ja nicht nur
für Technik sondern auch für
Internetrecht zuständig und da kam eine
eine ein Hinweis ran dein als ein
gewisser Bürgermeister aus
BadenWürttemberg nämlich aus Tübingen
ähm auf Facebook äh gelegentlich
Falschparker
äh ja die Fotos von falschparkenden
Fahrzeugen veröffentlicht wo natürlich
auch das Nummernschild nicht geschwerzt
ist und was gilt denn dann dann ja
abgesehen davon dass er natürlich der
als Oberbürgermeister auch der Chef der
ganzen Verwaltungsbehörde und so weiter
ist m das lassen wir mal außen vor das
macht's wahrscheinlich nur noch
schlimmer vermute ich jetzt mal so ganz
spontan ohne darüber nachgedacht zu
haben aber äh es ist natürlich eine
Veröffentlichung dieses
personenbezogenen Datums und das ist
dann wiederum nicht zulässig ja er könnt
natürlich das Schwerzen des
Nummernschild etc aber das
Veröffentlichen dieses Nummernschildes
ist nicht ähäh D GVO konform weil er
keine Rechtsgrundlage dafür hat ja sind
zwei Paar Schuhe ob ich etwas melde an
eine zuständige Stelle oder ob ich auf
Facebook Puste ne und die gan der ganzen
Menschheit mitteile das sind
Unterschiede ja das datenlck das
datenlck ja ganz ganz kurz wir sind in
der Zeit ja ihr habt bestimmt fragen
wenn ihr ein Datenleck entdeckt ja
irgendwo
eine schlechte API wo ich einfach die ID
hochzählen kann oder so ein Spaß und
dann innerhalb von paar Sekunden oder
Limit aus statt Limit 10 mache ich Limit
1 Million und mit einal Flop habe ich
alle
Daten ja was darf ich tun und was darf
ich nicht tun also ganz schnell ganz
kurz ihr dürft das natürlich dem
verantwortlichen melden und Hinweisen
hallo ihr habt da ein Problem
ihr könnt das natürlich auch der
aufsichtsbürde also uns melden ja ähm
und was machen wir dann üblicherweise
wir gehen an den Verantwortlichen ran
mit einer kurzen Frist und sagen
schaltet mal das ab und zwar bitte zack
zack und das klappt dann in der Regel
auch also wir haben immer wieder auch
aus dem chaosumfeld ähm entsprechende
Meldungen auf die nicht reagiert wurde
wo dann wochenlang nichts passiert ist
und
äh ähm bei uns hat's bis war es bisher
tatsächlich so dass Sie schnell reagiert
haben wir mussten dann nicht mit
Anordnung rausgehen sondern der Hinweis
hat schon mal gereicht und dann gucken
wir im Nachgang in Ruhe an ob das das
was was ob wie wir mit dem Datenleck
noch umgehen ob da noch irgendwelche
Maßnahmen notwendig sind also das kann
man machen ihr könnt natürlich auch ein
Pseudonym wählen wenn ihr dann an den
Verantwortlichen rangeht damit ihr euch
da ein bisschen besser schützt oder
sowas aber das dieses Recht habt ihr
erstmal grundsätzlich dass das machen
könnt ich mach wenn keine Frage dazu
kommt schnell weiter wie gesagt ans der
Zeit ja genau aber der der der ist noch
schön den den men auf jeden Fall noch
machen Datenschutz Vers Sicherheit ne
also dass sie sich angeblich nicht
verstehen das ist ja so eine alte Frage
ähm aber es gibt da zum Teil ähm ja
schon sehr schöne Beispiele ähm also
macht Datenschutz Sicherheit unmöglich
ähm ich habe da ein schönes Beispiel
rausgesucht das in verschiedenen
Bundesländern momentan eine Rolle spielt
äh da fällt mir ein Schwimmbad in
Wiesbaden ein um jetzt nicht selbst
zuständig zu sein ja aber in
BadenWürttemberg gibt es auch
Schwimmbäder in Bayern glaube ich auch
die das machen ähm also ja sicherer
schwimmen mit zweater Videoüberwachung
ist meine Frage
und ich habe mal hier einfach ein
bisschen aus der Presse ne das ist jetzt
nichts internes sondern das ist das was
jeder lesen kann beim SWR war das zu
lesen Freudenstadt intelligente Kameras
sollen Badegäste
überwachen okay kann man sagen nice was
ist das was sie da machen na ja das ist
also ein Unternehmen das smartet
Videokameras auf also erstens da stehen
schon Videokameras in den schwimmwäern
offensichtlich erstens mal nice to know
okay und so Bereich muss man natürlich
gucken nicht in der Umkleidekabine also
da M jetzt gar nicht drüber reden dass
das keine gute Idee ist aber im Rahmen
der Schwimmbecken ne so und die sagen ja
da machen wir jetzt noch das ein
bisschen smarter Klemmen da noch eine KI
dran und dann passieren keine
Badeunfälle mehr
das ist die Idee so einfach ist das
alles ist alles ist sicher also das das
das Überwachungssystem bekommt dann der
Bademeister auf seine SmartWatch ja und
da kommt dann so ein Alarm und oh da
ertrinkt einer auf 5 Uhr oder so ja so
also das die Idee ich habe ich
vereinfache jetzt sehr stark aber na ja
und das muss man sich natürlich sehr
genau angucken sehr sehr genau angucken
m ich sag gleich mal welche Fragen ich
da direkt hätte und ich habe diese
Fragen im Prinzip einfach mal über die
Webseite also die die der Anbieter
lyside heißt das ist ein israelisches
Unternehmen da kann man mal gucken die
bieten das an und dann kann man sich
natürlich die Frage stellen ja wie wie
machen die das genau wie geht's denn
technisch eigentlich genau also das ist
ja das was als Datenschützer an der
Stelle dann gerne wissen möchte und dann
klickt man hier auf der Webseite und man
erfährt das ehrlich gesagt auf der
Webseite nicht
die haben eine Datenschutzerklärung aber
die die Datenschutzerklärung die sagt
halt ihr seid hier auf einer Webseite
und guckis und so ne aber die sagt zu zu
dieser KI also zu diesem Produkt
nix nix Null nadanente
ich hätte da schon fragen
GB muss es da eine Einwilligung der
Badegäste geben wenn ja wie werden die
informiert werde ich wenn ich in der
schwimbart reingehe darauf hingewiesen
dass es eine smarte KI gestützte
Videoüberwachung gibt wie funktioniert
die überhaupt also werden meine meine
schwimmdaten meine schwimmkörperdaten
werden die in HD werden die
aufgezeichnet oder werden die on the fly
schon in irgendeiner Weise anonymisiert
als Strichmänchen mit bewegungsmodellen
abgeglichen und so 1000 Fragen hätte ich
da und ja da gibt's auch ein
drittstatentr transferprem
möglicherweise wenn die Daten das
Unternehmen ist ein israelisches
Unternehmen israelisches Startup ähm
werden die Daten dahinekabelt werden
wird mit meinen schwimmdaten weiter
trainiert die KI also ich habe da ganz
ganz viele Fragen und ich weiß von einem
schwimmwad in in Hamburg war es so dass
die Datenschutzbehörde ganz viele Fragen
hatten also ein ganz großen
Fragenkatalog an das Schwimmbad die das
einrichten wollten und nach dem
Fragenkatalog haben die es nicht mehr
gemacht weil sie gesagt haben wir können
die Fragen nicht
beantworten ja das das haben wir öfters
mal ne dass dann wir schicken einen
großen Fragenkatalog raus weil wir ja
auch nicht wissen en beurteilen zu
können und dann weiß der verantwortliche
auch nicht weiter genau ja wenn man man
kann sich bei solchen Sachen übrigens
immer eine Frage stellen braucht man das
und W wenn man wenn man sich jetzt hier
mal so bisschen anguckt wie viele
Menschen ertrinken denn in Deutschland
und wo ertrinken die und wenn man sich
diese Statistik anguckt ja also dieser
große Balken ne das sind See Teich Fluss
Meer Kanal Bach da ertrinken Menschen
Schwimmbad äh Schwimmbad ist
hier kaum Menschen ertrinken in
schwimmweder ja und dann ist natürlich
die nächste Frage die ich mir
grundsätzlich als natürlich technisch
sehr naiver Mensch mir die Frage stellen
würde na ja also was kann denn das
Modell wie erkennt das denn dass jemand
ertrinkt die die naive Vorstellung ist
ja bevor jemand ertrinkt fuchtelt der da
und macht und tut das tut er aber wenn
man mal mit Leuten vom DLG spricht
überhaupt nicht also gerade Kinder
ertrinken ganz leise die die gehen
einfach unter die zappeln nicht die
gehen einfach unter ja kann die KI das
das überhaupt erkennen ich frage
nur ja
ähm also das ist muss man sich
sicherlich genauer angucken es gibt
davon der DSK auch was das will ich
jetzt mit Rücksicht auf die Zeit
überblenden ja äh dann
wir neigen uns ja dem Schluss ein
bisschen Zeit brauchen wir noch für
fragen
wir haben jetzt hier man hat das
vielleicht in den Folien gesehen Alva
hatte immer ein schwarzen Hintergrund
mein Hintergrund war weiß ja der Mythos
Datenschutz ist schwarz-weiß so einfach
ist es halt oft nicht weil es kommt
drauf an auf den jeweiligen Fall
manchmal gibt's auch gerade bei
interessenabwägungen ja da kann ein
Ergebnis tatsächlich offen sein dann
fragt man drei Juristen kriegt fünf
Antworten ja das das ist schon denkbar
also gerade wenn es abwegungsfragen sind
ja und dann fragt man ein Techniker und
kriegt noch mal drei Antworten ja ja von
daher ist es bleibt komplex aber das
können wir
zusammenfassen großartig verhindern
töten oder ähnliches das leistet der
Datenschutz nicht das will er auch gar
nicht leisten er will Menschen schützen
Datenschutz ist kein supergrundrecht ja
das ist das wäre ein Mythos dass man
sagt Datenschutz schlägt alles
Datenschutz ist ein Grundrecht mit
vielen anderen Grundrechten auch und
dann muss man eben wenn die konfligieren
da können Eigentumsrechte noch eine
Rolle spielen ganz viele Dinge die die
in unserer Verfassung auch in der
grundrechtekarter drin stehen es ist
also ein Grundrecht von vielen aber in
we wichtig
also kein es schlägt nicht alles ja kein
supergrundrecht das ist vielleicht die
Menschenwürde aber nicht der Datenschutz
das wä so unser unser ja
Finales ja standing Datenschutz ist
super und ein Grundrecht also kein
supergrundrecht Super ist er und ein
Grundrecht vielen Dank jetzt haben wir
Zeit für
[Applaus]
Fragen ich da nur noch 5 Minuten
theoretisch aber okay ich mach's ganz
kurz vielen vielen Dank äh zu dem
letzten Punkt direkt ähm schwimmbart da
könnte man ja beim Reingehen irgendwie
noch informieren aber es gibt ja so
Fälle wie z.B am Südkreuz wo so
Gesichtserkennung gemacht wurde und da
kann man als im öffentlichen Nahverkehr
nicht nicht hingehen
m ich weiß do gar nicht was da
rausgekommen ist war groß Medien vor ein
paar Jahren und irgendwie habe ich jetzt
nichts mehr von gehört es glaube es
steht immer noch eine Warnung irgendwo
wenn man reinläuft hier Pilotprojekt der
Bahn aber ist der irgendwie was
passiert hast du den aktuellen Stand ich
hab da aktuell den Stand auch nicht
immer ich weiß auch auswendig
tatsächlich nicht was die Berliner
Kolleginnen und Kollegen dazu sagen wäre
vielleicht ein Grund dass wir dazu
einfach mal nichts sagen um den nicht da
zuständigkeitshalber irgendwie
reinzufuschen aber klar man muss sich
das halt genau anschauen ne auch welche
Maßnahmen dann passieren was passiert
technisch da etc etc was in dem Fall
wirklich sehr sehr interessant ist und
da muss man dann auch in den
Maschinenraum und sich mit Leuten
unterhalten die wirklich auch Ahnung
davon haben
m man liest dann Aussagen das ist jetzt
wieder pressewissen ne zu wie groß sind
die trefferraten also wie wie viel
Terroristen fische ich raus und auf der
anderen Seite was sind die False
Positives
und dann muss man sich genau angucken
wie diese Zahlen zustande kommen
und dann muss man sich am Ende des Tages
die Frage stellen wie viele fals
positives bin ich als Gesellschaft
bereit zu tragen ja das
bitte ja ist immer die Frage wer an
solche vsdaten ne also ich meine
Behörden können ja dann auch wenn Sie
Fragen haben ne kriegen die schon
informationbehörden kommen dann schon
ran an die Info aber das genau das muss
in der Bewertung mit reinkommen und dann
hilft halt nicht wenn nur dran steht
99,9% Trefferrate wenn dann trotzdem 100
pro Tag falsch rausgefücht werden genau
das vielleicht eine ganz kleine kurze
Abschlussfrage dann sind am Ende der
Zeit wer hat eine kurze da
vorne moin ähm wenn man eine Website
betreibt mit einem Team nicht sicher
gehen kann dass das Team irgendwann auf
der Website z.B Youtube Video einbettet
ähm sonst auf Datensparsamkeit achtet
aber dem vorbeugen möchte ähm kann man
dann in der Datenschutzerklärung darauf
schon Hinweisen obwohl das Youtube Video
noch nicht eingebunden ist mir wurde
gesagt es wäre falsch das einzubinden in
der Datenschutzerklärung z.B wenn es
nicht passiert weil ja der User der die
Userin vielleicht die einen das Youtube
Video sehen die anderen nicht das heißt
von außen kann man das eigentlich eh
nicht
beurteilen also
grundsätzlich ich ma mal ne
grundsätzlich würde ich sagen sollte man
es nicht aufnehmen jetzt kommt es
natürlich wieder drauf an ja also die
richtige
Antwort die Frage ist will man überhaupt
diese Möglichkeit den den Leuten offen
lassen ansonsten würde ich sagen mit CSP
also Content security policy unterbinden
dann kann das nicht aus Versehen
passieren sondern nur dann wenn es dann
ganz bewusst ist muss man sich noch mal
genau überlegen aber dann kann man sich
genau auf die Situation einstellen also
wenn man jetzt nur die Situation hat wir
wollen es eigentlich nicht es könnte
aber sein dass jemand aus Versehen macht
CSP setzen und dann kriegt man es halt
mit den meisten nah zu allen aktuellen
Browser allen aktuellen Browsern nicht
mehr zu sehen und dann ist die
Problematik nicht mehr
da das ja das ist im aber da also da
würde ich jetzt sagen in einem konkreten
Fall das würde mir als Maßnahme in
diesem Fal ausreichen grundsätzlich
zumindest mal ja Einzelfall kann es ja
wieder anders sein aber grundsätzlich
würde das ausreichen und ansonsten
müsste man sich anschauen also es sollte
die Datenschutzerklärung sollte
eigentlich knapp und kurz sein und nicht
ganz viel laber laber was keiner
versteht vielen Dank bevor jetzt noch
mehr la la kommt das war zu gute Vorlage
sorry also ihr seid sicherlich noch paar
en in der Nähe dass noch Fragen s morgen
noch mal
da mor wir haben morgen Sprechstunde bei
digitalourage drüben da haben wir gar
nichts vorbereitet sondern da kommt
einfach her wenn er wollt und
stellt tolle Fragen oder auch nicht so
tolle und und wir versuchen zu antworten
gibt nur tolle Antworten so und ich
macht das sicherlich jetzt noch paar
Minuten hier neben der Bühne
wahrscheinlich ansonsten wir sind bereit
den nächsten Talk vorzubereiten der
jetzt auch schon in 13 Minuten dran ist
und deswegen es tut mir leid aber vielen
vielen Dank für die Zeit die euch
genommen habt und es war ein toller
Vortrag danke
[Applaus]
[Musik]
danke