UK-Angemessenheitsbeschluss bis 2031 verlängert – DS News KW 01/2026

Transkript zur Folge:

Gepäck oder Gebäck.
Es hat nichts mit Cookies zu tun, also von daher Gepäck und nicht Gebäck.
Okay, alles klar.
Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der AmigoSense.
Wir starten heute mit euch gemeinsam ins neue Jahr. Heute ist Freitag, der 2. Januar 2026.
Ihr Redaktionsschluss war wie immer um 10 Uhr. Mein Name ist Heiko Gossen.
Und mein Name ist Laura Druschinski.
Und damit ein frohes neues Jahr. Happy New Year.
Frohes neues Jahr auch von mir.
Und ja, einige haben es vielleicht gemerkt, ihnen ist es aufgefallen,
es gab noch keinen Jahresrückblick.
Da müssen wir euch leider, leider, leider dieses Jahr enttäuschen.
Das hat nicht sollen sein. Aus gesundheitlichen Gründen hat das nicht geklappt
dieses Jahr. Obwohl wir schon sehr weit waren in den Planungen, das muss man auch sagen.
Und von daher könnte es vielleicht funktionieren, dass wir mit einer oder zwei
Aufsichtsbehörden, die wir mit eingeplant hatten, von denen wir auch Zusagen
haben, vielleicht noch einen kleinen Jahresrückblick in Form einer Themenfolge machen.
Aber da müssen wir noch mal ein bisschen warten, was die Terminfindung ergibt.
Genau, aufgeschoben, ist nicht aufgehoben und ich persönlich hoffe natürlich
sehr, dass wir es aber in diesem Jahr schaffen und wir dann auch einen tollen
Jahresrückblick auf die Beine stellen.
Aber dafür braucht es ja noch ein bisschen was an News, richtig?
Genau, da wir noch ein ganzes Jahr vor uns haben, werden wir fleißig sammeln.
In diesem Sinne sammeln, was hast du denn heute schon mal als Futter mitgebracht,
was vielleicht auch es in den Jahresrückblick schaffen könnte?
Ganz sicherlich schafft das erste Thema es in den Jahresrückblick,
weil das ist natürlich der Angemessenheitsbeschluss für Großbritannien.
Darüber möchte ich mit dir, mit euch natürlich sprechen.
Dann hat es heute noch auf meinen Zettel geschafft ein Urteil vom Bundesgerichtshof.
Da hat sich ein Versicherer mit einem Versicherungsnehmer gestritten.
Weiter geht es dann mit einem Silent Release eines Tools, was vielleicht für
den einen oder anderen interessant sein könnte.
Und zu guter Letzt auch leider eine Sicherheitslücke, die nicht ganz unwichtig ist.
Dann schaue ich heute unter anderem auf eine Entscheidung zum Thema postmortaler
Datenschutz und Betroffenenrechte.
Ich hätte einen Bericht, einen Auszug vom 39.
Chaos Communication Congress, dem CCC.
Und dann würde ich noch auf einen Gesetzesentwurf zur neuen Vorratsdatenspeicherung
schauen und last but not least eine Veröffentlichung im Gepäck.
Gepäck oder Gepäck?
Es hat nichts mit Cookies zu tun, also von daher Gepäck und nicht Gepäck.
Okay, alles klar. Dann fange ich mal an.
Yes, please.
Die EU-Kommission verlängert Angemessenheitsbeschlüsse für den Datentransfer
mit dem Vereinigten Königreich.
Wir haben ja alle schon ein bisschen drauf gewartet und jetzt war es eben soweit,
dass die Europäische Kommission die beiden Angemessenheitsbeschlüsse aus dem
Jahre 2021 für den freien Verkehr personenbezogener Daten zwischen dem europäischen
Wirtschaftsraum und eben dem Vereinigten Königreich verlängert hat.
Damit bleibt also eben der unbeschränkte und sichere Datenaustausch zwischen
den beiden Gebieten weiterhin möglich.
Die Beschlüsse betreffen jetzt sowohl die Datenschutzgrundverordnung als auch
die Richtlinie zum Datenschutz bei der Strafverfolgung.
Und nach Einschätzung der Kommission bietet eben der Rechtsrahmen des Vereinigten
Königsreichs auch weiterhin entsprechende Datenschutzgarantien,
die eben im Wesentlichen denen der EU gleichwertig sind.
Es hat ja eine technische Verlängerung um sechs Monate gegeben.
Das wurde ja im Juni 2025 beschlossen und eben in der Zeit oder diese Zeit,
jetzt dieses halbe Jahr,
wurde genutzt, um eben in der Übergangsphase eine umfassende Prüfung des relativ
jungen britischen Datenschutzrechts vorzunehmen und halt auch eben insbesondere
im Lichte des neuen Data Use and Access Act.
Und hier kann man eben jetzt zu einem positiven Abschluss.
Was kann man dazu noch so sagen? Also erstmal laufen die Angemessenheitsbeschlüsse bis zum 27.
Dezember 2031.
Das geht einem schlecht über die Lippen.
Also Ende 2031 laufen diese ab.
Aber aus der Pressemitteilung der Kommission ging bereits hervor,
dass sie gemeinsam mit dem Europäischen Datenschutzausschuss schon eine Überprüfung
der Beschlüsse nach vier Jahren vornehmen wollen.
Also wir haben uns ja heute Morgen darüber unterhalten, warum das immer so kurz
vor knapp ist in der Verlängerung, aber vielleicht beim nächsten Mal nicht,
wenn sie zwei Jahre im Voraus schon ihre Prüfung starten wollen.
Also deswegen für alle grünes Licht nun in Richtung UK. Vielen Dank.
Und vielleicht, vielleicht ist es ja dann wirklich so, dass wir nicht über den Jahreswechsel,
über die Feiertage dann die Meldung reinbekommen, sondern vielleicht wollen
ja auch bei der EU-Kommission die Leute mal in wohlverdienten Weihnachtsurlaub etwas früher starten.
Von daher, ja, wie du schon sagst, vielleicht klappt das ja,
wenn man schon nach vier Jahren mal drauf schaut. Die Datenschutzrechte einer
verstorbenen Person sind mit dem Tod grundsätzlich erloschen und nicht auf die Erben übertragbar.
Der datenschutzrechtliche Kern des Urteils liegt darin,
dass die DSGVO ausschließlich den Schutz lebender natürlicher Personen bezweckt
und daher mit dem Tod einer betroffenen Person auch das Beschwerderecht nach
Artikel 77 Absatz 1 DSGVO beispielsweise erlischt.
Und dieses geht auch, wie das Urteil eben schon angedeutet, nicht im Rahmen
der erbrechtlichen Gesamtrechtsfolge auf die Erben über.
Denn nach Auffassung des Gerichts, also in dem Fall des OVG Koblenz,
richtet sich die DSGVO ausschließlich an die lebenden Personen und auch nur
die dürfen diese Rechte entsprechend ausüben.
Das Gericht zeigte sich auch von den Argumenten zum digitalen Nachlass recht
unbeeindruckt, denn ein solcher
Nachlass setzte voraus, dass überhaupt ein übertragbares Recht existiere.
Und genau dieses Recht fehle aber im Datenschutzrecht der DSGVO.
Das postmortale Persönlichkeitsrecht, was ja hierzulande auch durchaus die Daten
von Verstorbenen noch in einer gewissen Art und Weise schützt,
Ändere aber in dieser Bewertung nichts,
denn es schütze ein anderes Rechtsgut und lasse sich nicht mit dem unionsrechtlichen
Datenschutzregime gleichsetzen, so das Gericht.
Somit besteht ein postmontaler Datenschutz nur dort, wo der nationale Gesetzgeber
ihn auch ausdrücklich geregelt habe.
Von daher, wir können Betroffenenrechte nicht auf die Erben übertragen.
Das ist wichtig und vielleicht ganz kurz zum Hintergrund, eine Witwe hatte geklagt,
weil die Daten ihrer verstorbenen Ehefrau ohne Einwilligung an den behandelnden
Onkologen übermittelt worden waren und die zuständige Datenschutzaufsichtsbehörde
hatte hier keinen Verstoß festgestellt und das Verfahren eingestellt und die
Klärerin war dann nach Gericht,
Weg zum Gang zum Gericht, so in erster Instanz bereits gescheitert und das OVG
hat das nochmal bestellt.
Nachvollziehbar, oder? Ja.
Ich denke für die Praxis, wie gesagt, hier und da vielleicht schon mal auch
ein relevanter Fall, wenn man Auskunftsanfragen zum Beispiel von Angehörigen
für eine Verstorbene hat, denke ich, ist das hier ein ganz guter Leitplanke.
So ist es. Eine Leitplanke hat, finde ich, auch der Bundesgerichtshof gesetzt,
denn dieser hat klargestellt, dass nicht jede versicherungsbezogene Information
automatisch ein personenbezogenes Datum im Sinne der DSGVO ist.
In einem Urteil vom 18. Dezember 2025 hob der BGH eine Entscheidung des Landgerichts
Leipzig damit auf und verwies den Fall zur erneuten Verhandlung zurück.
Ein Privatkrankenversicherter hatte von seinem Versicherer umfassende Auskunft
verlangt, unter anderem zu Beitragshöhen, Beitragsanpassungen sowie Tarifwechseln
und Beendigungen seit 2014.
Er stützte sein Begehren dabei auf den Auskunftsanspruch nach Artikel 15 DSGVO
und das Landgericht Leipzig hatte der Klage noch weitgehend stattgegeben.
Der BGH korrigierte diese Ansicht nun aber deutlich.
Maßgeblich sei, ob es sich bei
den begehrten Informationen tatsächlich um personenbezogene Daten handelt.
Dafür reiche es eben nicht aus, dass eine Information Auswirkungen auf eine bestimmte Person habe.
Entscheidend sei vielmehr, ob sich aus der Information direkt oder indirekt
eine identifizierte oder identifizierbare Person ableiten lässt.
Nach Auffassung des BGH beruhen Angaben zu Beitragshöhen oder Beitragsanpassungen
in der privaten Krankenversicherung regelmäßig auf abstrakten tariflichen Parametern.
Sie betreffen damit zunächst eine Beobachtungseinheit, etwa einen Tarif,
und nicht den einzelnen Versicherten als Person.
Solche Angaben seien daher zunächst personenneutral und würden erst durch zusätzliche
Informationen einen Personenbezug erhalten.
Mit dieser Entscheidung schließt sich jetzt der BGH eben der bislang restriktiveren
Linie in der obergerichtlichen Rechtsprechung an und eben eine Vorlage,
das finde ich auch ganz interessant, einen europäischen Gerichtshof,
hielt er eben nicht für erforderlich,
da der Begriff der personenbezogenen Daten aus seiner Sicht unionsrechtlich
ausreichend geklärt sei.
Nicht gefolgt ist der BGH hingegen dem Argument des Versicherers,
der Kläger verfolge mit seinem Auskunftsersuchen datenschutzfremde Zwecke,
etwa zur Vorbereitung eines Rückforderungsprozesses.
Laut dem BGH sei eben die Motivation der betroffenen Person für den Auskunftsanspruch
nach Artikel 15 DSGVO eben grundsätzlich unerheblich.
Wie gesagt, der BGH hier stärkt auf jeden Fall nochmal die engere Auslegung
des Begriffs personenbezogene Daten.
Auch das finde ich in der Praxis nicht ganz unrelevant.
Vor allem bei so einem riesen Zeitraum, wir sprechen jetzt von 2014 an,
also über zehn Jahre, durchaus auch nachvollziehbar die Begründung, oder Heiko?
Ich finde das gut. Ich vermisse das manchmal, diese andere Perspektive zu sagen,
okay, wo ist eine Information nur sozusagen mit einer Ausstrahlung vielleicht
auf eine natürliche Person gegeben,
aber sie sagt nichts über die Person selber direkt aus und dafür finde ich es
enorm hilfreich. Von daher finde ich es wirklich gut.
Auf dem Chaos Communication Congress hat jedes Jahr.
Das ist aber wirklich schwierig. Können Sie sich mal was anderes überlegen?
Können Sie sich mal was anderes überlegen. Der Chaos Communication Congress
hat auch dieses Jahr erneut schwerwiegende Angriffsszenarien und Druckstrategien
im digitalen Raum offengelegt.
Denn wie jedes Jahr ist der Kongress zwischen Weihnachten und Neujahr vom Chaos
Computer Club organisiert worden.
Ein Treffen von Hackern, Technikbegeisterten und Aktivisten,
wie Heise Online schreibt, denn sie berichten ja immer ausführlich über die
Beiträge, daher schau doch gerne nochmal unter heise.de, da gibt es aktuell
eine eigene Rubrik dazu und ich habe heute ein paar Highlights dazu mitgebracht,
denn zum einen wurde berichtet über einen Betrug beim Deutschland-Ticket.
Ja, hier lohnt sich wohl die Aufzeichnung auf des Talks anzuschauen,
weil die beiden Referenten die gesamte Geschichte wohl auch sehr unterhaltsam aufgerollt haben.
Denn sie haben gezeigt, wie Kriminelle mit gestohlenen Bankdaten echte Deutschland-Tickets
erwarben oder auch mit gestohlenen kryptografischen Schlüsseln gefälschte Tickets
ausstellen konnten. Die verkauften sie dann über Telegram weiter.
Insgesamt dürften nach ihrer Schätzung hier bis zu einer halben Milliarde Euro
entgangene Ticketeinnahmen wohl zusammenkommen.
Ist auf jeden Fall ein interessanter Vortrag auch für Leute,
die in Verkehrsbetrieben arbeiten.
Es gibt da wohl auch Datenbanken, die man als Verkehrsbetrieb abfragen kann,
um solche zu identifizieren.
Also fand ich auch schon vom Artikel her ganz interessant.
Dann hat Bianca Kastel wohl auf dem Kongress auch kritisiert,
dass die elektronische Patientenakte zum Start 2025 trotz bekannter Sicherheitslücken
unzureichend abgesichert wurde und forderte daher ein Ende der Experimente am
lebenden Bürger, wie sie sagt,
weil Flickwerkgegenmaßnahmen an den grundlegenden Designproblemen nichts änderten.
Hierzu passt dann auch Christoph Saathjohann, der demonstrierte,
dass die Telematik-Infrastruktur-Komponenten KIM wohl weiterhin anfällig für
Nachrichtenfälschung, Identitätsdiebstahl
Metadaten-Lags und Denial-of-Service-Angriffe ist, obwohl frühere Schwachstellen
wohl teilweise aber behoben wurden.
Aber auch hier wieder mal wurde nicht sorgfältig alles abgearbeitet.
Nils Rollshausen zeigte dann, dass statische Geheimnisse in der Explorer-Kinderuhr-Angreifern.
Weltweit einen Vollzugriff wohl ermöglichten, sodass sie Nachrichten mitlesen
konnten, Standorte fälschen oder auch sogar Geräte komplett übernehmen konnten.
Das ist natürlich für alle Eltern, die vielleicht ihren Kindern ans Handgelenk
gebunden haben. Ganz wichtig.
Ja und ganz interessant auch, der Chaos Computer Club ruft zum Digital Independence
Day auf und empfiehlt an jedem ersten Sonntag im Monat auf dezentrale Alternativen
wie Mastodon, Signal oder Linux umzusteigen,
um die Abhängigkeit von US- und China-basierten Tech-Giganten zu verringern.
Finde ich ganz eine smarte Idee.
Ja, finde ich ganz cool. Also ich finde es zwar auch einmal im Monat sportlich,
aber ich glaube, es gibt ja wirklich genug Alternativen.
Ich werbe da ja auch immer für, dass man nicht unbedingt WhatsApp nutzen muss, aber es zieht sich.
Ja, jetzt kannst du ja dann ordentlich mitfeiern.
Ja, einmal im Monat.
Erster Sonntag.
Wer sicherlich auch feiert, ist der Herausgeber des Einwilligungsagenten Consenta.
Denn hier hat es noch vor Weihnachten ein Silent Release des Einwilligungsagenten gegeben.
17. Oktober hat ja eben die Bundesdatenschutzbeauftragte den ersten Dienst zur
Einwilligungsverwaltung nach der Einwilligungsverordnung anerkannt.
Natalia und ich haben uns darüber in der Folge 45 des letzten Jahres unterhalten.
Also wer da gerne reinhören möchte, kann das natürlich gerne nochmal tun.
Und ja, das Browser-Plugin-Concenter soll ja eben oder ist eben der erste offiziell
anerkannte Dienst zur Verwaltung von Cookie-Einwilligungen. Und dieser ist nun
eben jetzt auch offiziell zum Einsatz bereit.
Entwickelt wurde der von der Berliner Firma Law & Innovation Technology und
fungiert eben in seiner Rolle als Einwilligungsagent als eine Trust-Plattform,
die es Nutzern ermöglicht, ihre Datenschutzpräferenzen zentral festzulegen und
diese eben automatisch an besuchte Webseiten zu übermitteln,
um diese ständigen Banner zu umgehen oder diese vielleicht sogar zu eliminieren für sich persönlich.
Obwohl eben der Dienst zunächst diskret über einen Silent-Release gestartet
wurde, hängt jetzt sein Erfolg natürlich maßgeblich davon ab,
dass sowohl Nutzer die Browser-Erweiterung installieren, aber auch die Webseitenbetreiber
das zugehörige Banner implementieren.
Laut Heise ist der Einwilligungsagent über einen speziell nicht öffentlich gelisteten
Link im Chrome-Store für Google-Browser zu finden. Versionen für Safari und
Firefox sollen aber bereits in den Startlöchern sein.
Und zur offiziellen Veröffentlichungsfeier am 26.
Januar soll der Dienst eben dann auch ganz offiziell gelistet und in den darauffolgenden
Monaten sukzessive ausgebaut werden.
Ich bin sehr gespannt.
Ich habe eine gewisse Skepsis, dass das erfolgreich sein wird,
weil wie du schon sagst, es muss von beiden Seiten dann auch genutzt werden und ich weiß nicht,
inwieweit insbesondere die Anbieter von Webseiten sich das Heft aus der Hand
nehmen lassen, um möglichst viele Einwilligungen zu buhlen. Deswegen schauen wir.
Warten wir es ab.
Warten wir es ab. Und was anderes, wo wir auch abwarten müssen,
ein Thema, was wir schon oft hatten und offenbar die Politik nie müde wird,
ein neuer Gesetzentwurf von Justizministerin Stefanie Hubig zur Vorratsdatenspeicherung
sieht eine dreimonatige Speicherdauer von IP-Adressen und Zusatzdaten bei Providern vor.
Wie gesagt, Vorratsdatenspeicherung, altes Thema und ja, sie sollen nun die
Ermittlungen bei Kinderpornografie, Onlinebetrug und strafbarem Hass im Netz erleichtern.
Der Entwurf ist kurz vor Weihnachten zur Abstimmung an die übrigen Bundesministerium
verschickt worden und er sieht vor, dass Anbieter dann zukünftig vorsorglich speichern sollen,
welche IP-Adresse zu einem bestimmten Zeitpunkt welchem Anschluss zugeordnet
war, sowie weitere Daten, die eine eindeutige Zuordnung zum Anschlussinhaber dann ermöglichen.
Union und SPD hatten das ja im Koalitionsvertrag auch entsprechend schon vereinbart.
Von daher ist es jetzt auch nicht ganz überraschend.
Zum Hintergrund, wie gesagt, zwar schon auf Thema hier.
Frühere Regelungen sind ja ausgesetzt worden, nachdem das Bundesverfassungsgericht,
aber auch der Europäische Gerichtshof, die er schon gegeben hat,
auch in anderen Ländern, auch Frankreich und so weiter. Der EUG hat da meines
Erachtens schon sehr enge und sehr klare Leitplanken zugesetzt.
Deswegen bin ich ein bisschen überrascht, dass man jetzt wieder auf so eine
pauschale Speicherung geht.
Die Erfolgsaussichten dafür seien mal dahingestellt. Aber anscheinend konnte
man sich nach wie vor nicht auf ein wirkliches Quick-Freeze-Verfahren einigen.
Ich meine, auch heute speichern die meisten Internetprovider die Informationen
der IP-Adressen und Zuordnungen ja schon für sieben Tage und in vielen Fällen
können diese dann ja auch gesichert werden, wenn Ermittlungsbehörden innerhalb
der sieben Tage dann entsprechende Beschlüsse vorlegen.
Das heißt, dann wird dieser Datensatz entsprechend auch eingefroren.
Und ja, der Gedanke bei dem Quick Freeze ist ja, dass man das sozusagen ohne
richterlichen Beschluss schon mal einfriert und die Behörden ein paar Tage mehr
Zeit haben, um dann die Beschlüsse zu besorgen und dann müssen die Daten natürlich
erst herausgegeben werden.
Aber wie gesagt, es soll wohl weiter eine pauschale Speicherung geben, so die Regierung.
Wie gesagt, ich habe da meine Skepsis, aber vielleicht sind ja die aktuell auf
EU-Ebene stattfindenden Bestrebungen für eine Vorratsdatenspeicherung für ein
Jahr verpflichtend, so ist der Plan einzuführen,
da erfolgreicher und ich ganz ehrlich glaube, dass bei dem Thema auch.
Wir brauchen da von EU-gesetzgeberischer Seite eine Linie, damit das spätestens
vor dem EuGH nicht wieder kippt.
Richtig, so ist es. Ich habe zu guter Letzt eine schwere Sicherheitslücke bei MongoDB mitgebracht.
Das BSI hat am Montag eine Meldung veröffentlicht, dass der Datenbankhersteller MongoDB am 19.
Dezember 2025 vor einer schwerwiegenden Sicherheitslücke gewarnt hat.
Das betrifft das gleichnamige NoSQL-Datenbank-Management-System.
Die Lücke ermöglicht es nicht authentifizierten Angreifern aus der Ferne Inhalte
des Arbeitsspeichers einer MongoDB-Instanz auszulesen.
Dadurch können eben hochsensible Informationen offengelegt werden,
darunter eben Datenbank-Passwörter im Klartext, API- und Cloud-Stüssel,
Sitzungstoken, aber natürlich auch der Abgriff von personenbezogenen Daten ist
hier nicht unwahrscheinlich.
Besonders kritisch ist auch zu betonen, dass am 26.
Dezember ein funktionsfähiger Proof-of-Concept-Exploit veröffentlicht wurde
und kurz darauf beobachteten die Sicherheitsforscher bereits Angriffe der Schwachstelle,
sodass also die theoretisch entdeckte Sicherheitslücke auch aktiv ausgenutzt wird.
Also jetzt Betreiber einer solchen Instanz sollten eben umgehend von MongoDB
bereitgestellte Sicherheitsupdates einspielen und eben prüfen,
ob denn ihre Systeme aus dem Internet erreichbar sind.
Aber es empfiehlt sich natürlich auch in solchen Fällen immer Zugriffe strikt
zu beschränken, aber auch Logs auf verdächtige Aktivitäten zur Überprüfung und
insbesondere auch kompromittierte Zugangsdaten vorsorglich zu erneuern.
Wunderbar, dann kommen wir noch zu einer Veröffentlichung. Und zwar die Bundesdatenschutzbeauftragte
hat eine neue Handreichung zum Einsatz von KI veröffentlicht.
Auch wenn sie sich an Behörden richtet, ist sie für Unternehmen,
glaube ich, sehr gut übertragbar.
Das Papier erklärt recht verständlich, warum KI fast immer ein Datenschutzthema
ist und wo personenbezogene Daten in KI-Systemen überall stecken.
Das ganze Werk ist recht umfangreich, 46 Seiten, aber soweit ich es beim ersten
Überfliegen erkennen konnte, gutes Nachschlagewerk für die Praxis.
Also von daher, auch wenn es sich, wie gesagt, an Behörden richtet,
ich würde es jedem empfehlen, da mal einen Blick reinzuwerfen.
Und damit sind wir mit unserem Zwei-Wochen-Rückblick. Zwischen Weihnachten und
Neujahr hatten wir ja keinen Datenschutz-News gemacht. Aber ich finde,
trotz, dass wir so wenig Arbeitstage hatten, ist ganz schön was zusammengekommen, oder?
Definitiv. Und wir haben ja noch was aussortiert. Also war jetzt ja nicht so,
dass wir keine Nachrichten hatten.
So ist es. Genau. Damit starten wir oder haben wir den Start ins neue Jahr gelegt.
Wir hoffen natürlich sehr, ihr bleibt uns treu, auch in 2026.
Gebt uns gerne Feedback oder lasst auch eine Rezension oder eine Fünf-Sterne-Bewertung
auf der Podcast-Plattform eurer Wahl da.
Wir freuen uns darüber sehr und in diesem Sinne habt ein erfolgreiches,
gesundes 2026, hoffentlich gemeinsam mit uns.
In diesem Sinne bleibt uns gewogen und auf bald.
Bis bald.