825 Mio. Euro Bußgeld gegen Uber – DS News KW 35/2026

Transkript zur Folge:

Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Mein Name ist Heiko Gossen.
Und mein Name ist Laura Druschinski.
Mit euch gemeinsam starten wir heute wieder ins Wochenende, denn heute ist Freitag,
der 28. August 2026. Unser Rektionsschluss, wie immer, heute Morgen,
irgendwann, so gegen zehn.
Zehn.
Genau. Und wie ihr das von uns kennt, wir blicken zurück auf die Woche des Datenschutzes,
was es so aus unserer Sicht Wichtiges gab, was für die Praxis relevant ist,
was für euch relevant ist, wo es als Datenschützer vielleicht interessant sein
könnte, up-to-date zu sein.
Und ich würde sagen, Laura, du fängst an mit den Themen, die du mitgebracht hast.
Sehr, sehr gerne. Und zwar habe ich zum einen mitgebracht natürlich das,
worüber viele in dieser Woche gesprochen haben, nämlich die vielleicht bevorstehende,
Sammelklage von Neub gegen die Schufa.
Da sprechen wir heute natürlich drüber. Dann geht es weiter mit einer in meinen
Augen ganz interessanten Aufsichtsmeinung zur Entwicklung von Datenschutzvorfällen.
Außerdem habe ich noch mitgebracht, mit Blick auf die Landtagswahlen dieses
Jahr, die sogenannte TikTok-Spende, die da dann auch möglich ist.
Und zu guter Letzt auch noch eine neue Spyware-Kampagne, die sich auf Indeed,
also dieses Berufsportal...
Ingrid.
Ingrid, Indeed fokussiert. Richtig. Und zu guter Letzt auch noch die eine oder
andere Veröffentlichung.
Wunderbar. Ich bin gespannt, wem TikTok gespendet wird. Derweil gucke ich auf
das Top-Thema 825 Millionen Euro Bußgeld gegen Uber und was dahinter steckt.
Außerdem hätte ich ein Urteil aus Österreich mit dabei, wo es um die Aufzeichnung
von, also die Audioaufnahmen von Sitzungen geht an einer Universität.
Spannendes Thema, was auch die Rechtsgrundlagen angeht. Und,
AliExpress und ein ungewöhnliches Tracking, was Sie sich wohl überlegt haben,
was ich so bisher auch noch nicht kannte.
Da schauen wir auch zusammen drauf und dann hätte ich auch noch zwei Veröffentlichungen mit dabei.
Wieder einiges auf dem Zettel. Sommerloch scheint vorbei zu sein,
deshalb würde ich einfach mal rein starten.
Yes, please.
Neub mahnt Schufa wegen mutmaßlicher Schüttendatenbank ab.
Die Schufa steht also erneut wegen ihres Umgangs mit personenbezogenen Daten in der Kritik.
Wie BackOnline vor zwei Tagen berichtet, hat die Datenschutzorganisation Neub
die Schufa inzwischen formell abgemahnt und bereitet darüber hinaus eine Sammelklage vor.
Im Mittelpunkt steht eine sogenannte Schattendatenbank mit historischen Daten.
Was ja schon bekannt geworden ist, dass nach Recherchen von NDR und Süddeutscher,
Zeitung die Schufa eben neben ihren regulären Daten auch ältere Informationen
über Verbraucherinnen und Verbraucher speichert.
Dazu gehören zum Beispiel vor Kredite, Pfändungen, Privatinsolvenzen und längst beglichene Schulden.
Neub fordert nun, dass die Schufa die historischen Daten löscht.
Sollte sie dieser Forderung nicht nachkommen, soll eine Unterlassungsklage folgen.
Die Schufa selbst bestreitet die Existenz dieser historischen Daten nicht,
weist jedoch die Vorwürfe zurück.
Sie hält die Speicherung der historischen Daten für rechtmäßig und notwendig,
unter anderem um wissenschaftlich belastbare und faire Bonitätsbewertungen zu
entwickeln und überprüfen zu können.
Sie kündigte schon an, sich rechtlich gegen die Vorwürfe zu Wehr zu setzen,
notfalls sogar bis hin zum BGH.
Neub bereitet nicht nur eine Unterlassungsklage vor, sondern auch eine Verbandsklage
auf immaterialen Schadensersatz.
Begründet wird dies mit einer möglichen
millionenfachen Verletzung des Auskunftsrechts nach Artikel 15 DSGVO.
Denn der Vorwurf, der jetzt nun auch im Raum steht, ist eben,
dass bei Auskunftsersuchen die historischen Daten eben nicht vollständig offengelegt worden seien.
Die Schufa argumentiert laut Beck aktuell, Verbraucher interessierten sich im
Wesentlichen für ihren aktuellen Score und die Daten, die aktuell in diesen Score einfließen.
Deshalb habe man über die historischen Datenbestände nicht informiert.
Spannend finde ich natürlich sehr diese Sicht, denn wie wir ja auch in der letzten
Woche das Thema ja auch auf dem Zettel hatten, soll eben ja das Auskunftsrecht
eben gerade den Betroffenen ermöglichen, nachzuvollziehen, welche personenbezogenen
Daten über sie verarbeitet werden.
Dass hier durchaus ein Interesse besteht, zeigt auch die Reaktion auf die Berichterstattung
der Vergangenheit, denn wohl mehr als 22.000 Menschen sollen inzwischen gezielt
Auskunft über ihre archivierten Daten verlangt haben.
Außerdem gibt es auch eine Petition zu dem Thema, die mittlerweile 145.000 Unterstützer hat.
Also wichtig ist jetzt für diesen konkreten Fall, bislang handelt es sich eben
um Vorwürfe und angekündigte rechtliche Schritte.
Eine gerichtliche Entscheidung über die Rechtmäßigkeit der historischen Datenspeicherung
oder einen möglichen Schadensersatz gibt es in diesem Verfahren noch nicht.
Hört ihr dann aber natürlich bei uns, wie gesagt Heiko, letzte Woche noch darüber
gesprochen, wie so ein Auskunftsersuchen aussehen soll und ja,
haben eine spannende andere Meinung, sagen wir so.
Ja, und auch über diese Auffassung, naja, das Speichern sei noch keine Verarbeitung,
haben wir auch explizit gesprochen.
Richtig.
Und ich finde das, also wenn das alles wahr ist, das ist schon krass.
Also das finde ich schon ziemlich skandalös, dass man sich damit versucht,
rauszureden, dass das die Nutzer normalerweise nicht interessieren würde,
weil sie nur an ihrem Score und den Daten, die da reinfließen, interessiert seien.
Das finde ich schon, das ist schon sehr gebogen, sehr um die Ecke gedacht.
Ja, richtig. Ja, darüber müsste man sich als Unternehmen noch Gedanken machen,
was vielleicht der Betroffene denn denken könnte.
Also wenn das, wie gesagt, alles stimmt, dann ist es, glaube ich,
eine ziemlich eindeutige Kiste vor Gericht.
Aber eine andere auch eindeutige Kiste habe ich auch mit dabei.
Die niederländische Datenschutzbehörde hat gegen Uber ein Bußgeld von 825 Millionen
Euro verhängt, weil das Unternehmen Fahrerkonten automatisiert sperren ließ
und die Betroffenen nicht ausreichend über diese Entscheidungen informierte.
Nach Auffassung der niederländischen Behörde verstieß Uber damit natürlich gegen
die Vorgaben der DSGVO zur automatisierten Entscheidung.
Entscheidend war laut Behörde dabei, dass die Sperren für die Fahrer erhebliche
Auswirkungen hatten, ohne dass ein Mensch ausreichend in die Entscheidung eingebunden war.
Und hinzu kam, dass Uber die Fahrer nicht ausreichend über diese automatisierte
Entscheidungsfindung informierte und auch deren Auskunftsrechte darüber hinaus verletzte.
Betroffen waren wohl Fahrer, deren Konten gesperrt oder deaktiviert wurden und
deshalb dann über die Plattform auch keine Fahrten mehr anbieten konnten.
Für sie hatte diese Entscheidung damit also auch wirtschaftliche,
konkrete wirtschaftliche Folgen.
Laut Heise Online waren den Fahrer nämlich quasi jetzt aufgleich ohne Vorwarnung,
damit quasi jeder Umsatz und damit natürlich auch Einkommen der Boden entzogen.
Und ja, das ist natürlich schon eine ziemlich krasse Auswirkung, finde ich.
Für Uber ist es ja zudem nicht das erste größere Datenschutz-Bußgeld aus den
Niederlanden. 2023 verhängte die Behörde bereits ein Bußgeld von 10 Millionen
Euro wegen Verstößen gegen Transparenzpflichten und Betroffenenrechte.
Und 2024 folgten weitere 290 Millionen wegen der Übermittlung von Fahrerdaten in die USA. Ja.
Gegen beide Entscheidungen ist Uber bereits vorgegangen. Den Widerspruch gegen
das 10 Millionen Euro Bußgeld wies die Behörde im Mai 26 zurück,
woraufhin Uber den Rechtsweg jetzt zum Gericht angekündigt hat.
Und auch gegen das Bußgeld von 290 Millionen Euro hat das Unternehmen wohl auch
Rechtsmittel eingelegt.
Und auch die aktuelle Entscheidung über die 825 Millionen will Uber nicht akzeptieren
und hat angekündigt, dagegen vorzugehen.
Aus meiner Sicht ist der Fall natürlich besonders interessant,
weil wir bislang relativ vergleichsweise, finde ich, wenige Entscheidungen zur
automatisierten Einzelfallentscheidung nach 22 DSGVO in solcher Klarheit gesehen haben.
Und ich finde, es zeigt nochmal anschaulich, dass es halt nicht nur darauf ankommt,
ob irgendwo formal ein Mensch beteiligt ist, sondern halt ob tatsächlich eine
wirksame menschliche Kontrolle der Entscheidung stattfindet.
Und ja, für die Praxis, glaube ich, auch insbesondere sehr wichtig,
weil natürlich gerade sehr viele Unternehmen ja doch sehr stark auf das Thema
Automatisierung setzen und da sehr viel umstellen,
dass man da als Datenschutzbeauftragter natürlich auch besonders darauf achtet,
dass hier die Anforderungen des 22 DSGVO, was Entscheidungen,
automatisierte Entscheidungen angeht über Einzelpersonen,
da natürlich besonders darauf Acht gibt und schaut, dass das eigene Unternehmen
da nicht in eine ähnliche Falle läuft.
Die hoffentlich nicht so teure Auswirkungen hat.
Die dann nicht so teure Auswirkungen hat, genau. Wobei ich finde,
das sieht man ja auch sehr schön, das ist ja auch in der DSGVO so angelegt,
dass ja wiederholende Datenschutzverstöße auch das Bußgeld erhöhen.
Und wenn man das jetzt hier so sieht, von 10 Millionen, 290 Millionen,
825 Millionen, also wenn die sich nochmal was leisten, dann geht es wahrscheinlich,
schon über die Milliarde gehen.
Ja, da sind die Holländer schon konsequent.
Kommen wir zum Thema Datenpannen. Und zwar gibt es davon wohl mehr im Gesundheitswesen in Baden-Württemberg.
Also im Gesundheitswesen steigt die Zahl der Datenschutzvorfälle und gleichzeitig
werden die Fälle wohl auch komplexer.
Darauf weist Professor Tobias Keber, Landesdatenschutzbeauftragter von Baden-Württemberg
und Vorsitzender der Datenschutzkonferenz derzeit, in einem aktuellen Podcast hin.
Allein bis Ende Juli wurden seiner Behörde im Gesundheitsbereich bereits 428 Datenpannen gemeldet.
Zum Vergleich, im Vorjahr waren es insgesamt 572.
Das zeigt eben, die Zahl der Vorfälle bleibt auf einem hohen Niveau und steigt sogar.
KEVA sieht die Ursache aber nicht nur in einzelnen technischen Fehlern.
Datenverarbeitungen werden umfangreicher, systemisch stärker vernetzt und die
Zuständigkeiten dadurch auch komplizierter.
Gerade im Gesundheitswesen ist das besonders kritisch, weil hier eben die hochsensiblen
Behandlungsdaten betroffen sind und damit auch eben ein besonderes Vertrauensverhältnis
zwischen Patienten, Patientinnen und den medizinischen Einrichtungen vorherrschen sollten.
Ein häufiges Problem hat er jetzt benannt, sind wie schon immer die ganz klassischen Fehlsendungen.
Aber ein ganz anderer interessanter Punkt hat er angesprochen.
Keber sagt nämlich sinngemäß, dass ihm nicht nur die steigende Zahl der gemeldeten
Fälle Sorgen macht, sondern vor allem die Dunkelziffer.
Denn eine hohe Zahl gemeldeter Vorfälle kann auch bedeuten, dass Meldeprozesse
funktionieren und Fehler erkannt werden.
Problematischer sind eben diejenigen Fälle, die gar nicht erst intern erkannt,
weitergegeben oder trotz Meldepflicht nicht angezeigt werden.
Also auch aus unserer Sicht können wir sagen, ganz wichtiger Perspektivwechsel,
denn eine Organisation mit vielen gemeldeten Datenschutzvorfällen ist eben nicht
automatisch schlechter aufgestellt als eine Organisation, die angeblich keine Vorfälle hat.
Entscheint ist vielmehr ja natürlich die funktionierende Fehler- und Meldekultur
und dass Mitarbeiter ganz genau wissen, was sie tun müssen, wenn sie denn von
einer Datenpanne Kenntnis haben. Und das können wir ja auch genauso unterstreichen, richtig?
Ja, absolut. Ich sage immer, wenn ein Unternehmen gar keine Datenschutzvorfälle
hat angeblich, dann ist das in der Regel gelogen oder man kennt sie halt nur nicht.
Man muss sich natürlich nicht immer alle melden, das ist auch klar.
Das ist natürlich aus einer aufsichtsbehördlichen Perspektive,
muss man es differenzierter sehen, aber ich glaube, da es schon eine hohe Dunkelziffer
gibt, sehe ich auch fürchtig auch.
Ja, gehen wir zu unseren südlichen Nachbarn. Das österreichische Bundesverwaltungsgericht,
hat die Verwarnung der Datenschutzbehörde dort bestätigt.
Eine interne Regelung einer Universität kann Audioaufnahmen zwar grundsätzlich
erlauben, sie rechtfertigt aber keine unangekündigten Mitschnitte ohne ausreichenden
Schutz der Betroffenen.
Ausgangspunkt waren zwei Departmentsitzungen einer österreichischen Universität,
die im Juli und November 2023 für die Protokollierung aufgezeichnet wurden.
Bei der ersten Aufnahme im Juli wussten die Teilnehmenden vorher nicht,
dass die Sitzung aufgezeichnet wurde.
Die Universität hatte zu diesem Zeitpunkt zwar die Pflicht, ein Ergebnisprotokoll
zu erstellen, aber noch keine spezielle Regelung für Audioaufnahmen bei diesen Sitzungen.
Erst nach dieser ersten Aufnahme änderte das Rektorat im August 23 dann eine
interne Richtlinie und danach waren
dann Audioaufnahmen für Zwecke der Protokollierung ausdrücklich zulässig,
und nach Genehmigung des Protokolls dann entsprechend zu löschen.
Auf dieser Grundlage wurden dann im November eine weitere Departmentsitzung
aufgenommen. Rechtlich bewertete das Bundesverwaltungsgericht beide Fälle nun getrennt.
Für die Aufnahme im Juli fehlte nach Auffassung des Gerichts,
wenig überraschend, eine tragfähige Rechtsgrundlage.
Die bloße Pflicht, ein Protokoll anzufertigen, reichte dafür nämlich nicht aus.
Und für die Aufnahme im November erkannte das Gericht dagegen an,
dass inzwischen eine universitätsinterne Regelung bestand, die grundsätzlich
als Rechtsgrundlage sogar in Betracht kam.
Das half der Universität dem Ergebnis jedoch leider nicht, denn die Regelung ließ,
nämlich zu, dass Sitzungen ohne konkrete Ankündigungen und für die Teilnehmenden
praktisch unbemerkt aufgenommen werden konnte und zudem hatten die Betroffenen
auch keine Möglichkeit, einer solchen Aufnahme zu widersprechen.
Das Gericht hielt diese Ausgestaltung deshalb für unverhältnismäßig und die
dadurch ermöglichte Datenverarbeitung dann natürlich auch für übermäßig.
Vielleicht eine kleine Besonderheit hier nochmal im österreichischen Universitätsrecht.
Da es sich um eine Körperschaft des öffentlichen Rechts handelt und dadurch
konnte sie quasi zur Wahrnehmung ihrer Aufgabe nicht das berechtigte Interesse heranziehen.
Das hatte man nämlich bei der ersten Aufnahme versucht, als Rechtsgrundlage zu nutzen.
Aber sie verfügen halt über eine weitreichende Satzungs- und Organisationsautonomie
und damit können sie dann ihre inneren Angelegenheiten zum Beispiel durch Satzungen,
Richtlinien oder sonstige internen Regelungen wohl näher ausgestalten.
Aus meiner Sicht lässt sich natürlich aus der Entscheidung auch viel für Unternehmen
mitnehmen, denn eine vorhandene Rechtsgrundlage ist immer das eine,
reicht aber nicht, wenn natürlich die Grundsätze wie Transparenz,
Erforderlichkeit, Datenminimierung und
Verhältnismäßigkeit bei der konkreten Ausgestaltung dann nicht stimmen.
Das heißt also, die Rechtsgrundlage ist dann keine Rechtsgrundlage mehr.
Die Datenverarbeitung wird also unzulässig. Denn gerade bei Audioaufzeichnungen
und auch Transkriptionen sollte deswegen halt nicht nur gefragt werden,
ob es eine Rechtsgrundlage gibt, sondern es sollte natürlich auch ganz genau
geschaut werden, dass die Verarbeitung,
transparent und natürlich möglichst datenminimierend auch umgesetzt wird.
Woran erinnert dich das, Laura? Das Thema?
Natürlich an unseren tollen Workshop bei der Privacy-Konferenz.
Richtig. Das ist eine schöne Gelegenheit für alle,
die da vielleicht auch nochmal denken, dann will ich lieber nichts falsch machen,
fahre ich doch mal nach Berlin Ende September, gucke mir die Stadt an und komme
mal bei der Privacy-Konferenz vorbei, beim Workshop von Heiko und Laura. Richtig.
Und von ganz, ganz vielen tollen anderen Menschen, die dort sind.
Das ist das Tolle. Da sind noch ganz, ganz viele andere wichtige und tolle Menschen.
Sehr viele Aufsichtsbehörden sind vertreten. Und nochmal zur Erinnerung,
der 29. September, der Dienstag, ist der Tag in Berlin vor Ort,
auf Deutsch, mit deutschem Fokus. Deswegen auch viele deutsche Aufsichtsbehörden dort.
Der 30. September, der Online-Tag, wo dann alles digital stattfindet.
So ist es.
So ist es.
Du hast ja gerade gefragt, an wen TikTok gespendet wird. Das ist nicht ganz
so richtig, denn TikTok-Datenspenden sind möglich für die Wahlforschung.
Und hier geht es nicht um Timmy natürlich, sondern um die, sagte ich ja schon,
bereits in den anstehenden Landtagswahlen. Denn das Berliner Weizenbaum-Institut
hat eine neue Runde seines Forschungsprojekts Dein Feed – Deine Wahl gestartet.
Hintergrund sind, eben schon gesagt, die Landtagswahlen in Sachsen-Anhalt und
Mecklenburg-Vorpommern sowie die Berliner Abgeordnetenhauswahl im September 2026.
TikTok-Nutzerinnen und Nutzer ab 18 Jahren können dafür freiwillig ihre Nutzungsdaten spenden.
Das Ziel, das finde ich ziemlich spannend, denn die Forschenden wollen besser
verstehen, welche politischen Inhalte der TikTok-Algorithmus tatsächlich in
die persönlichen Feeds spielt,
und ob es dabei Unterschiede nach Region, Alter und politischer Einstellung gibt.
Die wissenschaftliche Auswertung soll nur anonymisiert und aggregiert erfolgen.
Eine Weitergabe an TikTok oder andere kommerzielle Nutzung ist nicht vorgesehen
und was ich ganz interessant fand, war, dass die Teilnehmenden eine persönliche
Sofortanalyse ihres eigenen Feeds bekommen sollen.
Das Projekt schnüpft an eine Untersuchung zur Bundestagswahl 2025 an.
Damals hatten mehr als 900 Personen teilgenommen und es zeigte sich unter anderem,
dass der Anteil politischer Inhalte in den Feeds im Laufe des Wahlkampfs deutlich angestiegen sind.
Jetzt soll genauer untersucht werden, ob es bei Landtagswahlen regionale Unterschiede
gibt und ob politische Inhalte bestimmte Nutzergruppen besonders stark erreicht.
Also aus datenschutzrechtlicher Sicht natürlich besonders interessant,
weil hier sensible Informationen von mehreren Richtungen aufeinandertreffen.
Also sei es die politische Meinung, aber natürlich auch die anderen privaten
Themen, die man so bei TikTok denn auch tagtäglich thematisiert.
Das Projekt stützt ausdrücklich auf die Einwilligung der Teilnehmenden und auf
die besonderen Regelungen für wissenschaftliche Forschung nach Artikel 89 DSGVO.
Also hier ein super interessantes Beispiel nochmal für das Thema Datenspenden
für die Forschung, denn wir denken ja normalerweise mit Datenschutz ziemlich
häufig erstmal daran, möglichst wenig weiterzugeben oder es zu hinterfragen,
was weitergegeben wird.
Aber hier entscheiden sich eben die Betroffenen bewusst dafür,
dass ihre eigenen Daten für die Forschung zur Verfügung gestellt werden,
halt eben unter klaren Bedingungen und entsprechenden Schutzmaßnahmen.
Und das ist, glaube ich, am Ende des Rätselslösung.
Finde ich gut. Nichts für uns? Oder hast du mittlerweile doch ein TikTok-Account?
Nee, niemals.
Treue Hörer wissen, dass das Laura sich dem konsequent verweigert.
Aber ich gestehe, ich habe auch keinen. Also ich kann auch nichts beitragen, leider.
Ja, und wohnst glaube ich auch im falschen Ort.
Das kommt da hinzu. AliExpress setzt offenbar auf ein ungewöhnlich verstecktes
Browser-Fingerprinting und erzeugt im Hintergrund unhörbare Audiosignale,
um Geräte anhand ihrer technischen Eigenschaften wiederzuerkennen.
Aufgefallen ist das Verfahren eher zufällig, weil die Audioverarbeitung bei
einem Nutzer die Umschaltung seiner Bluetooth-Kopfhörer störte.
Und bei der anschließenden Untersuchung des AliExpress-Codes zeigte sich dann,
dass die Webseite die Web-Audio-API nutzt und aus der Verarbeitung der Signale
technische Merkmale ableitet.
Zusätzlich fließen wohl offenbar auch noch weitere Informationen über Browser,
Hardware und auch Grafikverarbeitung in diesen Fingerprint mit ein.
Und solche Merkmale können zusammen natürlich ein vergleichsweise stabiles Profil
eines Endgeräts ergeben, auch wenn klassische Cookies fehlen oder gelöscht werden.
Für Nutzer ist dieses Tracking besonders schwer zu erkennen,
weil weder ein hörbares Signal noch ein sonst unmittelbarer sichtbarer Hinweis
auf die Messung entsteht.
Nach bisherigem Erkenntnisstand lassen sich allerdings laut Heise noch nicht
sicher sagen, wie AliExpress diese gewonnenen Fingerprints serverseitig konkret
verwendet oder auch nicht, wie lange sie gespeichert werden oder ob sie dauerhaft
einzelnen Nutzer zugeordnet werden.
Unklar ist bislang auch noch, ob AliExpress das Fingerprinting weltweit einsetzt
oder die Skripte vielleicht auch abhängig von Region, Nutzer oder anderen Kriterien ausliefert.
Ich finde es aber trotzdem krass, wenn darüber keine Transparenz hergestellt wird.
Definitiv.
Keine Transparenz hatte man wahrscheinlich auch, wenn man auf die neue Spyware-Kampagne
reingefallen ist bei Indeed, denn dort gab es gefälschte Vorstellungsgespräche,
und diese halt eben Daten von Indeed-Nutzern abgegriffen haben.
Also aktuell warnen IT-Sicherheitsforscher vor einer neuen Angriffskampagne,
die gezielt Nutzerinnen und Nutzer der Jobplattform Indeed ins Visier nimmt.
Die Masche ist dabei ziemlich gemein, denn Kriminelle treten als vermeintliche
Arbeitgeber auf, veröffentlichen gefälschte Stellenanzeigen und fordern Bewerber
anschließend dazu auf, für das Vorstellungsgespräch eine zusätzliche App zu installieren.
Diese App ist allerdings keine harmlose Recruiting-Anwendung,
sondern Schadsoftware.
Betroffene berichten zum Beispiel von einer Datei namens MyInterview,
die außerhalb des Google Play Stores über einen direkten Download-Link verbreitet wurde.
Nach der Installation konnte die App weichreichende Rechte auf dem Smartphone
erlangen und weitere Schadsoftware nachladen.
Besonders kritisch ist dabei der Missbrauch der Bedienungshilfen bzw.
Accessibility-Dienste unter Android. Sobald die Schadsoftware dort Zugriff erhält,
kann sie das Gerät weitgehend kontrollieren und offenbar sogar verhindern,
dass die App wieder deinstalliert wird.
Die Nachrichten sehen teilweise so aus, als kämen sie direkt von Indeed daher
für die Nutzer, weil es auch nur super schwer erkennbar war,
dass es sich hier um einen Angriff handelt.
Indeed selbst stellt aber klar, Vorstellungsgespräche laufen über die offizielle
Plattform bzw. den Browser. Für ein Interview ist niemals die Installation einer
zusätzlichen App erforderlich.
Aus Datenschutzsicht ist diese Angriffsmethode besonders relevant,
weil Bewerberinnen und Bewerber häufig ohnehin viele persönliche Informationen
preisgeben, über ihren Lebenslauf, ihren persönlichen Werdegang berichten
und teilweise ja auch sensible Angaben sich innerhalb des Bewerbungsprozesses verbergen können.
Kommt dann noch eine Spyware auf dem Smartphone hinzu, können sehr viel weitgehende
Daten betroffen sein, etwa Nachrichtenzugangsdaten, aber auch Kontakte oder
andere auf dem Gerät gespeicherte Informationen.
Und genau das macht diese Angriffe so gefährlich, denn sie kombinieren Social
Engineering mit einer Situation, in der Betroffene ohnehin mit Rückfragen und
weiteren Schritten im Bewerbungsprozess rechnen.
Also ich bleibe dabei, für Bewerbende ziemlich gemein.
Als Unternehmen, was können wir mitgeben? Natürlich immer auch da.
Transparenz ist, glaube ich, ein guter Ratschlag. Auch Bewerbern,
und Bewerberinnen transparent machen, wie die eigenen Recruiting-Prozesse sind,
die klar zu kommunizieren, damit auch dann am Ende klar ist,
über welche Kanäle denn überhaupt Kontakt aufgenommen wird.
Ja, und für unsere Zuhörer, glaube ich, ist der beste Tipp ohnehin,
sich einfach direkt bei uns auf unserer Webseite zu bewerben.
Da braucht man gar kein Indeed.
Da geht man einfach auf migusens.de slash karriere. Da findet man unsere Stellenanzeige
und gute Datenschützer können wir immer gebrauchen.
Spart euch diesen ganzen Indeed-Kram einfach und kommt direkt zu uns.
Kommen wir zu unserer Rubrik Veröffentlichungen und Veranstaltungen.
Mehrere XA-Fachverbände und Hochschulen haben neue Leitlinien veröffentlicht,
die Orientierung für einen verantwortungsvollen Umgang mit Smart Glasses im Alltag geben sollen.
Haben wir ja auch hier in jüngerer Zeit schon mal darüber berichtet,
dass ja gerade über die aktuelle Meta-Brille sehr viel diskutiert wird.
Die Leitlinien richten sich jetzt an Träger ebenso wie an Menschen in ihrem
Umfeld und behandeln unter anderem auch Persönlichkeitsrechte,
heimliche Aufnahmen und einen transparenten Umgang mit der Technik.
So sollen Nutzer etwa Aufnahmesignale natürlich nicht verdecken,
vertrauliche Situationen nicht heimlich aufzeichnen und die Brille im Zweifel
absetzen, wenn andere sich dadurch unwohl fühlen.
Für Datenschutzbeauftragte kann das Papier natürlich auch eine interessante
Orientierungshilfe sein, wenn der Einsatz von Smart Classes im Unternehmen oder
entsprechende Verhaltensregeln zum Beispiel natürlich auch diskutiert werden.
Deswegen packen wir den Link natürlich in die Shownotes.
Und so ist es. Bei mir geht es weiter. Denn zum Schulstart hat die Landesbeauftragte
für den Datenschutz und die Informationsfreiheit in Nordrhein-Westfalen, Bettina Geig,
heute ganz frisch Hinweise zum Einsatz von KI-Chatbots wie ChatGPT und Gemini veröffentlicht.
Ihre Kernbotschaft lautet, Schulen sollten sensibilisieren, Schulen und Risiken
technisch wie organisatorisch minimieren.
Mehr dazu findet ihr natürlich auch in den Shownotes und vielleicht ganz passend
zu dem Thema Schulstart ist an der Stelle vielleicht noch der Hinweis,
dass die Datenschutzunterrichtsmaterialien der Bundesbeauftragten für den Datenschutz
und die Informationsfreiheit mit dem Gütesiegel der Verbraucherzentrale Bundesverband
ausgezeichnet worden sind im Laufe der Woche.
Wer nicht weiß, was es ist, es gibt ja eine Unterrichtsreihe,
auch hier direkt von der BFDI zum Thema, was ist Datenschutz für die Klassen 4 bis 7.
Also geht es um grundlegende Kenntnisse über den Schutz personenbezogener Daten.
Das soll dort vermittelt werden und soviel ich weiß, sind die auch bei der BFDI kostenlos abrufbar.
Also da auch nochmal einen Hinweis und natürlich mit dem auf dem Weg auch einen
herzlichen Glückwunsch für die schöne Auszeichnung.
Absolut, dem schließen wir uns an. Das Bildungszentrum für Datenschutz und Informationsfreiheit
Baden-Württemberg, kurz BIDIB,
eine Einrichtung des Landesdatenschutzbeauftragten für Datenschutz und Informationsfreiheit
Baden-Württemberg, hat neue Kurse geplant und veröffentlicht.
Sie bieten ein in diesem Haus eigenes Bildungszentrum kontinuierlich kostenfreie Schulungen an.
Und im Angebot sind jetzt für die zweite Jahreshälfte unter anderem Datenschutz
im Verein, Basiswissen im Datenschutz für Kleinstunternehmen,
Selbstständige und Start-ups, sowie Datenschutz in Kindertageseinrichtungen
und Grundschulen, sowie,
aus der Praxis für die Praxis Fallbeispiele zur Anwendung des LIFGBW,
Landesinformationsfreiheitsgesetzes Baden-Württemberg. Auch hier,
guckt euch das gerne an, wer sich da angesprochen fühlt und ansonsten geht es natürlich weiter.
In eurem Umfeld gibt es bestimmt Leute, für die es interessant sein könnte und,
wir wissen ja alle, im Datenschutz können wir nicht genug sensibilisieren und
die Leute darauf aufmerksam machen,
sowohl auf Unternehmens- und verantwortlichen Seite als auch auf betroffenen Seite.
In diesem Sinne, Sind wir durch für heute oder hast du noch was entdeckt?
Nee, ich kann ins Wochenende gehen.
Ja dann, euch allen ein schönes Wochenende, die auch, Laura. Vielen Dank.
Kein Glück, neben so.
Und in diesem Sinne würde ich sagen, bleibt uns gewogen und auf bald.
Bis bald.