Zu gut überwachte Dönerspieße – DS News KW 36-2026

Transkript zur Folge:

Die ist ja heute los. Ich habe meine erste Nachricht mitgemacht. Überraschung.
Ich habe Nachrichten.
Ich habe Nachrichten dabei.
Herzlich willkommen zum Datenschutz-Talk, eurem wöchentlichen Datenschutz-Update der Migosense.
Mein Name ist Laura Druschinski und bei mir ist heute David Schmidt.
Grüß dich, Laura.
Hallo, lieber David. Heute ist Freitag, der 4. September 2026.
Redaktionsschluss war um halb zehn und wir schauen wie immer an dem Freitag
mit euch gemeinsam auf die wichtigsten Datenschutzthemen der Woche.
Aber wir müssen auch feststellen, es ist ein anderer super wichtiger Tag heute,
nämlich ein sehr wichtiger Tag für die deutsche Imbisskultur.
Denn es ist bundesweiter Tag der Currywurst.
Haben wir was gelernt. Und wir haben auch schon fast ein passendes Top-Thema dabei, oder?
Ja, fast, fast würde ich sagen. Ein Currywurst-Substitut.
Dann ja, leg doch mal los, was hast du heute auf dem Zettel?
Ich habe mitgebracht eine druckfrische Entscheidung des EuGH.
Dann unser heutiges Top-Thema kommt aus Hannover. Da musste sich das Verwaltungsgericht
mit der Videoüberwachung in einer Dönerfabrik befassen.
Und es gibt Neues in Sachen Google Fonds. Wie sieht es bei dir aus?
Ich habe als allererstes eine Entscheidung aus Österreich mitgebracht.
Und zwar, die kommt dort vom Obersten Gerichtshof zum Thema Zweckbindung.
Weiter geht es mit einem Urteil vom OVG in Sachsen, mit dem Thema Videokonferenz
mit Teilnehmern aus der USA und zu guter Letzt ein neues KI-Videoüberwachungsprojekt.
Dankes Wort.
Ja, klingt aber spannend.
Ja, ich denke. Dann legt mal los.
Dann fange ich an mit dem EuGH. Der hat gestern
entschieden, dass personenbezogene Daten von Aktionären grundsätzlich nicht
frei im Internet veröffentlicht werden dürfen, da dies nicht mit den datenschutzrechtlichen
Grundsätzen vereinbar ist.
Ausgangspunkt des Verfahrens waren Gesetze, die der lettische Gesetzgeber auf
Basis der EU-Richtlinie 2017 1132 über bestimmte Aspekte des Gesellschaftsrechts erlassen hatte.
Danach mussten umfangreiche Informationen über die Aktionäre von Aktiengesellschaften
öffentlich zugänglich gemacht werden.
Bei natürlichen Personen betraf das unter anderem den Namen,
das Geburtsdatum, Angaben zu Ausweisdokumenten, Kontaktadressen und die E-Mail-Adresse,
also sehr weitreichend.
Hinzu kamen Informationen über Art und Anzahl der gehaltenen Aktien,
deren Nennwert sowie die damit verbundenen Stimmrechte.
Diese Daten waren über ein entsprechendes Online-Portal in Lettland frei zugänglich.
Nutzer des Portals mussten sich nicht identifizieren und konnten die Informationen
auch in größerem Umfang ohne eine Begründung herunterladen.
Dagegen wandten sich 17 Minderheitsaktionäre vor dem lettischen Verfassungsgericht.
Sie verwiesen insbesondere auf das erhebliche Missbrauchsrisiko und dass nach
der Veröffentlichung der Daten kaum noch kontrolliert werden könne,
wie diese weiterverwendet werden.
Das ländische Verfassungsgericht sah sich also im Spannungsbereich zwischen
Transparenz im Aktienrecht und dem Datenschutz und legte die Sache dem EuGH vor.
Und dieser entschied zugunsten des Datenschutzes. Die Regelungen sind nach Auffassung
des EuGH nicht mit den Grundsätzen aus Artikel 5 und Artikel 6 der DSGVO vereinbar.
Problematisch ist insbesondere, dass die Daten praktisch in unbegrenzter Zahl
abgerufen werden können und auch von einer unbegrenzten Anzahl an Personen,
weil niemand ein berechtigtes Interesse am Zugang zu den Daten nachweisen muss.
Dies kann laut EuGH auch nicht mit den Motiven der Geldwäschebekämpfung und
auch nicht mit Verhinderung von Terrorismusfinanzierung legitimiert werden.
Vielmehr muss jetzt ein Mechanismus implementiert werden, der vor jedem Datenabruf
eine Prüfung der Erforderlichkeit und Angemessenheit verlangt.
Was nehmen wir damit mit für die Praxis?
Die Entscheidung ist vor allem ein deutliches Signal gegen eine pauschale Veröffentlichung
von personenbezogenen Daten im Internet.
Gab es ja hier auch mal zeitweise die Diskussion bezüglich des Handelsregisters.
Zwar führen jetzt die wenigsten Unternehmen solche Datenbanken,
aber dennoch zeigt auch die Entscheidung, wie wichtig die obligatorische Prüfung
möglicher milderer Mittel ist.
Und ich finde es ja dann viel spannender, die zuvor gelagerte Gesetzgebung zu
diesem Fall, oder? Die das dann jetzt ausgelöst hat, diese Entscheidung.
Genau, es war eine EU-Richtlinie, die umgesetzt werden muss und die hatten die
Letten dahingehend ausgelegt, haben sie scheinbar falsch ausgelegt.
Aber natürlich kann es auch da immer zu einer Kollision kommen,
zum Datenschutz und da muss der EuGH im Zweifel entscheiden.
So ist es.
Der OGH in Österreich erklärt die
Nutzung von Marketingdaten für Griffbonitätsbewertungen für rechtswidrig.
In Österreich gibt es eine wichtige neue Entwicklung rund um die Kreditauskunft Teil Griff.
Die Datenschutzorganisation Neub berichtet in dieser Woche, dass der österreichische
oberste Gerichtshof in mehreren unabhängigen Verfahren klargestellt hat,
Die GRIF durfte personenbezogene Daten, die ursprünglich von Adressverlagen
zu Marketingzwecken verarbeitet wurden, nicht einfach für Bonitätsbewertung weiterverwenden.
Denn, bin ich überraschend, die DSGVO kennt ja den Grundsatz der Zweckbindung
und werden Daten, zum Beispiel für Direktmarketing, verarbeitet,
ist eine spätere Nutzung für die Kreditwürdigkeitsprüfung nicht automatisch zulässig.
Der OGH hat diese Trennung jetzt eben sehr deutlich bestätigt und das ist deshalb
besonders relevant, weil es hier eben nicht um Einzelfälle geht.
Nach Angaben von Neub betrifft die Praxis potenziell Millionen Menschen in Österreich.
Für Neub ist die Entscheidung außerdem strategisch sehr wichtig,
denn die Organisation hatte bereits im Juni diesen Jahres eine Unterlassungsklage
gegen Griff eingebracht.
Die aktuelle OGH-Rechtssprechung stärkt nun einen zentralen Punkt in dieser
Klage, nämlich die Frage, ob die Datenerhebung aus Adressverlagen überhaupt rechtmäßig war.
Damit steigen jetzt nach Einschätzung von Neub auch die Erfolgsaussichten einer
geplanten Sammelklage.
Und Betroffene sollen sich dieser Sammelklage natürlich anschließen können.
Neub geht davon aus, dass im Erfolgsfall auch hier rund ein Schadensersatz von
500 Euro pro Person möglich sein könnte, wenn die Daten unrechtmäßig in der
Griffdatenbank verarbeitet oder für Scoring verwendet wurden.
Wichtig ist jetzt aber, die jetzt entschiedenen Verfahren sind nicht identisch
mit der Sammelklage von Neub. Der OGH hat also nicht über diese Sammelklage entschieden.
Er hat aber eben zentrale Rechtsfragen vorob sehr klar beantwortet.
Und genau das verschiebt jetzt die Ausgangslage deutlich zugunsten der Betroffenen.
Und die Entscheidung ist jetzt ja eben ein gutes Beispiel dafür,
dass der Grundsatz der Zweckbindung gar kein formaler Nebenpunkt ist,
sondern ganz konkrete Grenzen für Geschäftsmodelle setzt.
Also wer Daten für Werbung erhält, kann daraus nicht ohne weiteres Scoring-
oder Bonitätsprodukte machen.
Also für die CRIF dürfte die Entscheidung jetzt definitiv unangenehm sein,
weil sie nicht nur einzelne Verarbeitungen betrifft, sondern die Grundlage eines
ganzen Datenstroms infrage stellt und
für die Betroffenen auf der anderen Seite zeigt sehr deutlich,
wie wichtig es ist zu wissen, woher die Daten stammen, zu welchem Zweck sie
ursprünglich erhoben wurden und wofür sie später auch tatsächlich genutzt werden.
Da schließt sich ein bisschen der Kreis, auch den Folgen der letzten zwei Wochen,
mit dem Thema Informationspflichten und eben dann auch daraus resultierend die
Information über die Zweckbindung.
Ja, und man hat das Gefühl, es wird immer enger für Griff, Schufa und Co.
Definitiv.
Ich komme zu unserem heutigen Top-Thema. Das Verwaltungsgericht Hannover musste
sich mit der Videoüberwachung in einer Dönerfabrik befassen.
Also Laura leider keine Currywurst, aber Döner nicht weniger delikat, finde ich.
Der Betreiber der Dönerfabrik ließ nicht nur die Produktionsbereiche überwachen,
sondern auch Pausenräume und Außenbereiche.
Das fand der Landesbeauftragte für Datenschutz in Niedersachsen nicht so lecker.
Die Behörde erließ deshalb einen Bescheid, mit dem zunächst die Rechtswidrigkeit
der Videoüberwachung festgestellt wurde.
Außerdem flog dann noch auf, dass der Betreiber kein Verzeichnis über die Datenverarbeitung
gemäß Artikel 30 DSGVO geführt hat.
Später erließ die Behörde deshalb ein Bußgeld in Höhe von 8000 Euro,
gegen welches der Betreiber sich vor dem Verwaltungsgericht versuchte zu wehren.
Die Argumentation war ein bisschen spannend, denn der Betreiber argumentierte
jetzt mit Zwecken der Hygienevorbeugung und Einbruchsprävention.
Allerdings so, dass er sagte, die weitreichende Videoüberwachung sei seiner
Auffassung nach unbedingt erforderlich,
weil wenn Unbefugte sich an den Lebensmitteln vergreifen würden,
dann könnte dies unter Umständen zu Lebensgefahr führen.
Wow.
Darauf ließ sich das Gericht jetzt aber wenig verwundernd nicht ein.
Vielmehr sah es weder ein ausreichendes berechtigtes Interesse noch eine Rechtfertigung
aus dem beschäftigten Datenschutz.
Der Betreiber muss deshalb die 8000 Euro bezahlen. Finde ich sogar vergleichsweise
noch recht wenig, muss ich sagen.
Aber grundsätzlich finde ich es auch recht wenig. Kommen wir zu einer weiteren
spannenden Frage. Denn darf ein Sachbeistand, der in den USA lebt,
per Video an einer mündlichen Verhandlung in Deutschland teilnehmen?
Und hier hat das Sächsische Oberverwaltungsgericht mit einem Beschluss vom 15.
Juni 26 einen Blick drauf geworfen und gesagt, nö.
Also das Gericht hat den Antrag abgelehnt. Ein Grund dafür war die komplexe
Organisation des Verfahrens.
Als Datenschutzsicht besonders spannend, ist aber ein anderer Punkt,
denn die Videobertragung in die USA wäre zugleich eine Übermittlung personenbezogener
Daten in ein Drittland gewesen.
Genau aus dem Mund haben wir das Thema heute mitgebracht, denn das Gericht machte
in seinen Ausführungen sehr deutlich, es reicht nicht aus, dass die Videoverhandlung
nach deutschem Prozessrecht grundsätzlich zulässig ist.
Eine Übermittlung in ein Drittland, etwa wenn dies zur Geltendmachung oder Verteidigung
von Rechtsansprüchen erforderlich ist.
Das Gericht sah diese Erforderlichkeit aber nicht, weil der Sachbeistand auch
persönlich nach Deutschland hätte kommen können.
Interessant ist auch der Punkt der Einwilligung. Eine Einwilligung nur des zugeschalteten
Sachbeistands hätte nach Auffassung des Gerichts nicht genügt,
denn von der Bild- und Tonübertragung wären möglicherweise auch Richter, Verfahrensbeteiligte
und sogar Zuschauer betroffen gewesen.
Hier konnte die Einwilligung vorab nicht zuverlässig sichergestellt werden.
Grundsätzlich finde ich eine relativ praxisrelevante Entscheidung,
denn sie zeigt, dass selbst eine scheinbare banale Videokonferenz schnell mit
international oder schnell internationaler Datentransfer werden kann.
Und wir stellen das ja auch oft fest in der Praxis, gerade bei Video- und Kollaborationstools
werden oft oder wird oft nur darauf geschaut, wo denn der Anbieter sitzt oder
ob die Software technisch funktioniert.
Aber auch eine einzelne Videozuschaltung in die USA kann eben diese Anforderungen
aus Artikel 44 und weitere DSGVO natürlich auslösen und
insbesondere auch natürlich für international abendbeitende Unternehmen gar
nicht so unwichtig, finde ich, dieser Hinweis.
Nee, überhaupt nicht. Und ich sehe es auch immer wieder, dass dieses Data Privacy
Framework jetzt als Freifahrtsschein verstanden wird für Datenübermittlung in die USA.
Aber dabei wird verkannt, dass das natürlich nicht für die komplette USA gilt,
sondern es muss vorher schon geschaut werden, ob der Empfänger auch zertifiziert ist.
Genau so ist es.
Es gibt neue Entwicklungen zum Thema Google Fonds. Ich finde,
es ist ein bisschen eingefroren, aber wir erinnern uns wahrscheinlich alle an
die Abmahnwellen vor, ich weiß nicht, zwei Jahren oder so.
Nagel mich nicht darauf fest. Jedenfalls wurde ein solcher Fall jetzt vor dem Bundesgerichtshof.
Ein Webseitenbetreiber hatte Google-Fonds dynamisch eingebunden,
wodurch bei Seitenaufrufen die IP-Adresse der Besucher an Google in den USA übertragen worden war.
Eine Privatperson ließ per Software massenhaft solche Aufrufe erzeugen und verschickte
dann über seinen Anwalt mehr als 100.000 Zahlungsaufforderungen zu je 170 Euro.
Dagegen wehrte sich jetzt jemand, der damals bezahlt hatte, aber nun eine Rückzahlung
fordert und der Streit landete tatsächlich jetzt vor dem Bundesgerichtshof,
der jetzt wiederum mehrere Vorlagefragen an den EuGH weitergegeben hat.
Diese drehen sich insbesondere erneut um die Eigenschaft von dynamischen IP-Adressen
als personenbezogene Daten und um den vermeintlichen Rechtsmissbrauch von Artikel 82 DSGVO.
Der EuGH wird nun die Frage beantworten müssen, ob ein immaterieller Schaden
nach Artikel 82 überhaupt in Betracht kommt, wenn der Betroffene den Verstoß
gezielt provoziert hat. Das finde ich sehr spannend.
Definitiv. Übrigens, zwei Jahre hast du gesagt, ne? Mhm. Die zwei war fast richtig,
aber es war 2022. Wahnsinn, oder?
Ich hatte schon aufgerundet. Das ist noch nicht genug.
Als wäre es gestern gewesen.
Danke dir.
Gehen wir einmal nach Dortmund. Und zwar hier gibt es jetzt eine neue KI am
Hauptbahnhof, die Gefahrensituation erkennt.
Also über KI-gestützte Videoüberwachung im öffentlichen Raum haben wir vor kurzem
ja bereits am Beispiel in Berlin gesprochen.
Jetzt gibt es ein weiteres Pilotprojekt, diesmal im öffentlichen Nahverkehr in Dortmund.
Im Dortmunder Hauptbahnhof werden seit dieser Woche sieben bereits vorhandene
Überwachungskameras zusätzlich mit KI ausgewertet.
Das System soll auch hier gefährliche Situationen und insbesondere körperliche
Auseinandersetzung erkennen und automatisch an die Leitstelle der Dortmunder
Verkehrsbetriebe melden.
Interessant ist jetzt auch hierbei, wie das Ganze funktionieren soll,
denn die Monitore in der Leitstelle bleiben grundsätzlich schwarz.
Erst wenn die KI eine mögliche Gefahrensituation erkennt, wird die entsprechende Aufnahme angezeigt.
Zusätzlich markiert das System die Situation und bewertet ihre Schwere und Dringlichkeit.
Die Entscheidung darüber, ob und wie darauf reagiert wird, soll aber weiterhin
den Mitarbeitenden liegen.
Die KI gibt also den Hinweis, der Mensch entscheidet. Technisch arbeitet das
System mit dem Musterabgleich. Dabei soll das System auch gelernt haben,
vermeintlich ähnliche Bewegungen voneinander zu unterscheiden.
Eine Umarmung soll beispielsweise nicht mit einer Rangelei verwechselt werden
und Fußballspielen nicht mit einem Dritt oder Dritten gegen eine Person.
Und hier wird es auch wieder für uns spannend, denn anders als beim Berliner
Pilotprojekt werden die Personen nicht lediglich als abstrahierte Strichmännchen dargestellt.
Das System analysiert die tatsächlichen Videoaufnahmen und bezieht dabei auch
den jeweiligen Kontext ein.
Die Verantwortlichen betonen, dass die Verarbeitung möglichst datenschutzfreundlich ausgestaltet ist.
Die Analyse erfolgt wohl lokal auf einem KI-Server ohne Internetverbindung.
Biometrische Daten sollen nicht ausgewertet werden und für die Videoaufnahmen
sollen weiterhin die bestehenden Speicherfristen gelten.
Interessant fand ich auch in dem
Zusammenhang die Reaktion der nordrhein-westfälischen Datenschutzaufsicht.
Nach den vorliegenden Informationen war hier wohl das konkrete Dortmunder Projekt bisher nicht bekannt.
Also ein bisschen schade finde ich schon, dass es eben ein allgemeines Stimmungsbild
der Behörden zu diesen KI-gestützten Verhaltensanalysen noch nicht wirklich gibt.
Ja, das können wir mitnehmen. Wie gesagt, ich fand es interessant,
nochmal eine andere Art der Technik, eine andere Art der Auswertung natürlich in dem Fall.
Mir tun die Mitarbeiter leid, die ein bisschen vor diesem schwarzen Bildschirm
sitzen und warten müssen.
Ja, das stelle ich mir auch ganz spannend vor.
Aber grundsätzlich glaube ich jetzt halt hier das Betonte, also die lokale Verarbeitung
und natürlich die menschliche Letztentscheidung sind wichtige Schutzmaßnahmen
aus datenschutzrechtlicher Sicht, aber auch hier wieder entscheidend.
Wie sieht es halt mit den Fehlalarm aus, also mögliche Verzerrung und die tatsächliche Wirksamkeit?
Wie kann die wirklich transparent gemessen werden?
Aber es kommt ja jetzt immer mehr. Also wird es ja wahrscheinlich auch bald
mal die ersten Ergebnisse von Forschungsseite geben.
Ja und wir bleiben dran. Ich bin gespannt, was sich da durchsetzen wird,
weil ich glaube, das haben wir jetzt und das klingt jetzt auf jeden Fall schon
mal besser als die Berliner Variante, aber trotzdem kein Grund,
dann da die Behörde komplett außen vor zu lassen.
Wir bleiben dran, ist glaube ich ein ganz gutes Stichwort, denn wir sind jetzt
am Ende angelangt. Es gibt keine Hausaufgaben für euch, liebe Zuhörerinnen und
Zuhörer. Wir haben keine Veröffentlichung und Veranstaltung mitgebracht,
auch ein bisschen traurig.
Ein wenig, aber so ein schönes freies Wochenende ist ja auch nicht schlecht.
Sei jedem auch mal vergönnt. Deshalb danke dir lieber David.
Danke dir Laura.
Danke euch natürlich wieder für euer Ohr in dieser Woche. Ich freue mich auf
die nächste Woche, sage schönes Wochenende und bis dahin.
Auf bald.