Der Tatort wird zum Smartort – DS News KW 45-2026

Transkript zur Folge:

Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosens.
Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosens.
Mein Name ist Gregor Wortberg und bei mir ist heute David Schmidt.
Grüß dich Gregor.
Ja David, auch heute, am heutigen Freitag, dem 6. November 2026,
wollen wir natürlich gemeinsam mit euch, liebe Hörerinnen und Hörer,
über die Datenschutz-News dieser Woche sprechen.
Redaktionsschluss heute um 9.30 Uhr und dann schauen wir mal gemeinsam,
was es in dieser Woche gegeben hat. Welche Themen hast du denn mitgebracht in dieser Woche?
Es gab Betrieb vor dem Europäischen Gerichtshof, da habe ich zwei Urteile mitgebracht
und dann habe ich noch ein Bußgeld aus Finnland mitgebracht. Wie sieht es bei dir aus?
Ich starte heute mit einer Sicherheitslücke in einem Passwortmanager,
die auch zu zwingendem Handlungsbedarf führt und es gibt Neues von der Polizei in Neubrandenburg.
Darüber hinaus darf eine Veröffentlichung des Europäischen Datenschutzausschusses
natürlich nicht fehlen.
Soweit, so gut. Dann fange ich mal an mit dem ersten Urteil des Europäischen
Gerichtshofs für heute.
Dieser musste sich mit Artikel 20 des Bayerischen Landesdatenschutzgesetzes
befassen, da dieser als nicht,
mit der DSGVO vereinbar gerügt wurde.
Ausgangspunkt war ein Streit zwischen einem Journalisten und dem Bayerischen
Landesamt für Datenschutzaufsicht. Der Journalist hatte sich wegen Datenschutzverstößen
eines Dritten an die Behörde gewendet.
Nachdem die Behörde dem Journalisten mitgeteilt hatte, entsprechende Verstöße
des Dritten auch selber festgestellt zu haben,
wollte der Journalist dann nähere Einzelheiten zu den ergriffenen Maßnahmen
erfahren und beantragte schließlich eine Auskunft nach Artikel 15 DSGVO bei
der Datenschutzbehörde.
Die Behörde hat diesen Antrag jedoch unter Verweis auf den gesetzlichen Ausschluss
gemäß Artikel 20 Absatz 2 des Bayerischen Landesdatenschutzgesetzes abgelehnt.
Diese Norm konkretisiert Artikel 77 Datenschutzgrundverordnung,
also das Beschwerderecht eines jeden Betroffenen bei der Datenschutzbehörde
über Datenschutzverstöße von Dritten,
und lautet Auskunfts- oder Einsichtsrechte hinsichtlich Akten und Dateien der
Aufsichtsbehörde bestehen nicht.
Dies hielt der Journalist für unvereinbar mit der DSGVO und klagte deshalb beim
Verwaltungsgericht, welches die Sache dann schließlich an den EuGH weitergab.
Der EuGH stelle zunächst fest, dass auch die Datenschutzaufsichtsbehörde bei
der Bearbeitung etwaiger Beschwerden selbst verantwortliche Stelle ist und somit
dem Artikel 15 DSGVO unterliegt.
Und Einschränkungen der betroffenen Rechte durch nationale gesetzliche Normen
wie eben dem Bayerischen Landesdatenschutzgesetz sind nur unter Maßgabe von
Artikel 23 DSGVO möglich.
Ein pauschaler Ausschluss des Auskunftsrechts durch Landesrechts steht laut,
EuGH aber gerade nicht im Einklang damit.
Vielmehr sei stets eine Abwägung des Einzelfalls erforderlich,
in der Mittel wie Schwärzung oder die Anonymisierung von Daten Dritter zu berücksichtigen sind.
Im Ergebnis hat der EuGH Artikel 20 Absatz 2 des Bayerischen Landesdatenschutzgesetzes
also aus diesen Gründen für nicht mit der DSGVO vereinbar erklärt.
Was heißt das für die Praxis? Klar, erstmal reden wir hier über das Verhältnis
Bürgerbehörde, so für die wirtschaftliche Praxis vielleicht auf den ersten Blick
nicht so ganz interessant,
aber daraus lässt sich dennoch ableiten, dass immer an den Verhältnismäßigkeitsgrundsatz
bei der Bearbeitung von betroffenen Rechten zu denken ist,
und eben nicht starr abgelehnt werden darf, sollte auch nicht,
selbst dann nicht, wenn das ein Gesetz explizit so vorsieht.
Das sollte man immer beachten. Der Anbieter M7 hat nach verdächtigen Aktivitäten
im Zusammenhang mit seinem Passwortmanager mSecure aktuelle und ehemalige Kunden
aufgefordert, gespeicherte Zugangsdaten neu abzusichern.
Was genau passiert ist und ob Angreifer tatsächlich auf gespeicherte Daten zugreifen
konnten, ist bislang unklar.
Also eine Sicherheitslücke von erheblichem Ausmaß, was wirklich zwingenden Handlungsbedarf
mit sich bringt, M7 empfiehlt unter anderem Passwörter zu ändern,
die Zwei-Faktor-Authentifizierung, falls vorhanden neu einzurichten oder zurückzusetzen,
unvorhandene Passkeys zu entfernen.
Also ich als betroffene Person, wenn ich eine wäre, wäre schon sehr dankbar.
Also es bringt natürlich einen erheblichen Aufwand mit sich und birgt natürlich
auch sehr, sehr viele Risiken. Wir haben einmal das komplette Passwort,
die komplette Passwortbibliothek, wenn man so möchte.
Der Vorfall betrifft zudem auch einen großen Personenkreis, wenn man sich jetzt
mal laut Heise nur die Downloads im Google Play Store anschaut,
ist die Anwendung über 500.000 Mal installiert.
Also dementsprechend ein weitverbreitetes Tool. Die Anwendung hat zusätzlich
auch schon in der Vergangenheit Aufmerksamkeit bekommen, weil das Bundesamt
für Sicherheit in der Informationstechnik,
den Anbieter M-Secure bereits im vergangenen Jahr untersucht hatte und das BSI
kam damals zu dem Ergebnis, dass der Hersteller sogar theoretisch auf gespeicherte
Daten, also die Passwörter,
zugreifen könne und das Konzept eines Passwortmanagers da schon so ein bisschen
ad absurdum geführt wurde, weil das ja nicht so den üblichen Erwartungen an
einen Passwortmanager entspricht, dass das halt möglich ist.
Ob jetzt die frühere Bewertung mit dem aktuellen Vorfall zusammenhängt,
das ist leider nicht bekannt.
M7 hat auch noch nicht offengelegt, wie es genau zu dieser Sicherheitslücke
kommt und welche Systeme da genau betroffen sind.
Also da sollte man natürlich prüfen, ob man neben den Passwörtern,
die man ändert, vielleicht auch einen neuen Passwortmanager installiert,
um da in Zukunft dann natürlich auch sicher zu sein und seine Daten sicher zu schützen.
Ja, absolut. Also Passwortmanager sind natürlich toll und empfehlenswert,
um das nochmal klarzustellen, aber dieser vielleicht jetzt gerade nicht so sehr.
Scheinbar, ja.
Mein zweites Urteil kommt auch vom Europäischen Gerichtshof und dieser hat entschieden,
dass Kunden von Stromanbietern keinen Anspruch auf einen konventionellen,
das heißt auf einen nicht smarten Zähler haben.
Der Hintergrund war die Weigerung einer Kundin von Netz Niederösterreich ihren
mechanischen Zähler durch einen intelligenten Zähler ersetzen zu lassen.
Ein Anspruch darauf, diesen klassischen Zähler behalten zu wollen,
hat die Kundin versucht, aus der E-Privacy-Richtlinie abzuleiten.
Diese soll ja die Privatsphäre bei der elektronischen Kommunikation schützen
und regelt insbesondere deren Vertraulichkeit, den Umgang mit Verkehrs- und
Standortdaten, aber auch das Thema Cookies.
Der EuGH sieht diese Richtlinie aber im Zusammenhang mit dem Stromnetz gar nicht
als anwendbar, weil smarte Stromzähler
eben nicht an ein öffentliches Telekommunikationsnetz angeschlossen sind.
Vielmehr dient das Stromnetz und damit auch diese Zähler primär der Energieversorgung
und die Übertragung der Verbrauchsdaten ist nach Auffassung des EuGH nur ein interner,
technischer Vorgang des Netzbetreibers, sodass die E-Privacy-Richtlinie hier nicht anwendbar ist.
Nichtsdestotrotz lohnt es sich dann immer bei dem Einsatz von Smart Home Geräten,
sich doch schon dessen theoretischen Auswirkungen auch bewusst zu sein und intensibel
zu sein, dass da natürlich auch personenbezogene Daten erhoben werden,
die auch in der Polizeiarbeit eine Rolle spielen.
Das wurde dieser Woche dann auch nochmal publikt. Da hat der neubrandenburgische
Polizeipräsident Heiko Tesch an dieser Stelle einen ausdrücklichen Gruß,
aufgrund unseres Folgentitels, hat das nämlich dann auch mal in unserer Folge
geschafft, darüber berichtet, dass die wachsende Bedeutung digitaler Massendaten
für die Ermittlungen hingewiesen,
weil eben so Daten aus Smart Home Geräten bei der Verbrechungsbekämpfung immer
mehr eine Rolle spielen.
Da sind dann neben mobil von Kamera- und Routerdaten aber auch eben Geräte wie
Staubsorger, die potenzielle Beweismittel liefern können.
Und da fiel das Zitat, dass aus dem klassischen Tatort jetzt ein Smartort wird.
Und das fanden wir so schön, dass das zur Aufnahme in die heutige Folge dann
geführt hat und auch zum Folgentitel. Also von daher...
Ja, wird ja immer wieder gesagt, Deutschland sei nicht mehr das Land der Dichter
und Denker. Ich finde, das beweist das Gegenteil.
Genau, aber wie gesagt, um mal auf die ernste Seite natürlich da zurückzuführen,
das zeigt natürlich auch einfach die Menge der Daten, die da anfällt.
Auch jetzt zu Hause, im eigenen Zuhause, welche Rückschlüsse da vielleicht auch
dann durch Dritte dann gezogen werden, falls solche Systeme durch Sicherheitslücken,
dann offengelegt werden.
Und das ist natürlich auch ein Punkt, den man im Privaten bedenken sollte,
aber auch natürlich die Polizei für Herausforderungen stellt.
Die finnische Datenschutzbehörde hat ein Bußgeld in Höhe von 33.000 Euro gegen
ein Gesundheitsdienstleistungsunternehmen verhängt.
Dieses hatte seiner Online-Buchungsplattform Cookies und Tracking-Tools eingesetzt
und darüber hinaus nicht anonymisierte Gesundheitsdaten an Google,
Meta und Microsoft übermittelt.
Es handelt sich dabei um eine Plattform zum Termine für ärztliche Untersuchungen.
Genau. und so weiter zu buchen, also ähnlich wie Dr. Lib hier in Deutschland.
Gibt, glaube ich, noch andere Plattformen, also möchte jetzt keine exklusive
Werbung irgendwie machen.
Aber besonders kritisch ist natürlich, dass aus den gesammelten Informationen
der Nutzer eben auch Gesundheitsdaten abgeleitet werden können,
je nachdem, welchen Facharzt man zum Beispiel besuchen möchte.
Und dabei versteht die Behörde zu Recht keinen Spaß, finde ich.
Ja, also das sollte man natürlich irgendwo, wenn man sowas dann schon aufsetzt
und so ein Tool bringt, dann natürlich auch bedenken, welche Daten vielleicht
passiv auch nochmal miterhoben werden. Also das ist ja so ein Mindestmaß,
was man in dem Kontext vielleicht auch sogar voraussetzen würde.
Zum Abschluss von meinen Themen, ich glaube von unseren beider Themen,
habe ich noch eine Veröffentlichung mitgebracht.
Der Europäische Datenschutzausschuss hat in dieser Woche mit Privacy for Kids
eine neue Plattform gestartet, die Eltern, Lehrkräften und pädagogischen Fachkräften
kindgerechte Materialien zum Schutz der Privatsphäre im Internet bereitstellt.
Die Plattform bündelt das unter anderem durch Spiele, Videos und KISS-Formate,
um da die Informationskampagnen von Datenschutzbehörden aus ganz Europa den,
Kindern auch nochmal näher zu bringen.
Da geht es um soziale Medien, Smartphones, Apps, Smarttoys, Cybermobbing und
den Datenschutz zu Hause und richtet sich halt dementsprechend auch an Kinder
und Jugendliche unterschiedlicher Altersgruppen.
Und das kann wunderbar gefiltert werden. Das ist ein echt tolles Tool,
um da vielleicht zu Hause die Datenschutzsensibilität auch nochmal zu stärken.
Ja, da bekommen die Datenfüchse, also die Buchreihe des BFTI,
mal Konkurrenz. Sehr schön.
Genau. Und das, wie angekündigt, war dann auch schon die letzte Nachricht für diese Woche.
Von daher möchten wir uns bei euch auch in dieser Woche wieder fürs Zuhören
bedanken, wünschen euch natürlich auch ein schönes Wochenende oder einen schönen Wochenstart.
Bis nächste Woche.
Auf bald.