Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein

 

1    Datenschutz und Informationsfreiheit

Nachdem es in den vergangenen Jahren eine hohe Anzahl von Fragen, Beschwerden und Datenschutzfällen rund um Corona gegeben hatte, ist dies im Jahr 2022 etwas zurückge­gangen und andere Themen sind in den Vorder­grund getreten. Das hängt sicherlich auch damit zusammen, dass die Menschen von weiteren Großkrisen betroffen sind, die von jeder und jedem Aufmerksamkeit fordern, und von Politik und Gesellschaft ein umsichtiges Handeln erwar­tet wird. Dennoch bleibt es dabei, dass die Ver­arbeitung von Daten und die Beherrschung der damit verbundenen Risiken zentral für unsere Gesellschaft ist und hier unsere Grundrechte prä­gend sein müssen.

Im Bereich der Digitalisierung sind in diesem Jahrzehnt wichtige Entwicklungen zu erwarten. Auf europäischer Ebene ist es ein ganzes Bündel von Rechtsakten (Tz. 2.3), die sich im Gesetzge­bungsverfahren befinden oder bereits verab­schiedet sind und verschiedene Aspekte von Daten und Verarbeitung betreffen, z. B. das Datengesetz (Data Act), der Daten-Governance-Rechtsakt (Data Governance Act) oder das Gesetz über künstliche Intelligenz (AI Act). Insbe­sondere mächtige Anwendungen der künstli­chen Intelligenz wie das Programm „Chat GPT“, das ganz anders als herkömmliche Suchmaschi­nen funktioniert und als Ausgabe nicht Links auf möglicherweise passende Ergebnisse anzeigt, sondern einen ausformulierten – aber nicht unbedingt inhaltlich korrekten – Antworttext generiert, stellen unseren Umgang mit Daten und Wissen vor Herausforderungen (Tz. 2.6).

Ähnliche Entwicklungen gibt es im Grafikbereich – die auf Knopfdruck für uns generierte Sammlung von Bildern mit Datenschutzbezug lieferte uns Inspiration für das Titelbild dieses Berichts. Auch das Zusammenwachsen von virtueller, erweiter­ter und physischer Realität in einem „Metaverse“ und die damit verbundenen Datenverarbeitun­gen werden neue Fragen für Individuen und Gesellschaft aufwerfen (Tz. 2.6). Dies alles ver­suchen wir frühzeitig im Blick zu haben, um auf eine faire Gestaltung und, wo nötig, sinnvolle Regulierungen hinzuwirken.

Auch wenn sich diese Vorboten der kommenden Entwicklungen noch nicht in den typischen Fällen von Beschwerden, Datenpannen und Beratun­gen niederschlagen, gibt es aus dem Jahr 2022 genügend wichtige, interessante und manchmal auch spannende Punkte, über die ich Sie mit diesem Bericht informiere. Damit können Sie einen Einblick in die Arbeit meines Teams, den Mitarbeitenden im Unabhängigen Landeszent­rum für Datenschutz Schleswig-Holstein (ULD), gewinnen. Ich wünsche Ihnen viel Spaß beim Lesen!

Dr. h. c. Marit Hansen

Landesbeauftragte für Datenschutz Schleswig-Holstein

Landesbeauftragte für Informationszugang Schleswig-Holstein

 

1.1          Datenschutz und Informationsfreiheit im Koalitionsvertrag

Aus dem Koalitionsvertrag 2022-2027 zum Datenschutz (Seite 216):
Neben klaren rechtlichen Vorgaben bedarf es der Durchsetzung durch gut ausgestattete, unabhängige Aufsichtsstrukturen, denen auch eine wichtige Beratungsfunktion zukommt.
[…] Wir setzen uns für eine europaweit einheitliche Anwendung der DSGVO ein und werden landesrechtliche Regelungen gegebenenfalls überarbeiten. Unser Ziel ist es, bestehende Möglichkeiten der DSGVO besser zu nutzen, beispielsweise, um die datenbasierte Forschung im Gesundheitsbereich zu verbessern.
[…] Für neue datengetriebene Geschäftsmodelle brauchen wir neue Datentreuhändermodelle, Lizenzen und innovative Datenschutzlösungen durch Technik (privacy by design, privacy by default). Die Forschung für Technologien zur Anonymisierung großer Datenbestände werden wir unterstützen. Ebenso sind durchgehende Ende-zu-Ende-Verschlüsselungen und überprüfbare Open-Source-Software wichtige Bausteine, um Transparenz herzustellen, digitale Souveränität zu stärken und die informationelle Selbstbestimmung zu garantieren.

Datenschutz und Informationsfreiheit sind eng mit der Digitalisierung verwoben. Digitalisierung ist natürlich ein globales Thema, weil die technischen Entwicklungen und darauf aufbauenden Angebote von irgendwo auf der Welt stammen und auch irgendwo genutzt werden können. Der Fortschritt der Digitalisierung wirkt sich auf die Chancen und Risiken der konkreten Datenverarbeitungen auf der ganzen Welt – und auch in Schleswig-Holstein – aus. Oft gibt es unmittelbare Bezüge zu Datenschutz oder Informationsfreiheit.

Ein Bundesland wie Schleswig-Holstein ist der Digitalisierung mit ihrem grenzenlosen Charakter aber nicht ausgeliefert, sondern kann und muss eigene Entscheidungen treffen – z. B. über die Digitalisierung der Verwaltung – und mitgestalten. Die neue Regierung hat ihr Gestaltungsprogramm im Koalitionsvertrag zwischen den regierenden Parteien – CDU und BÜNDNIS 90/
DIE GRÜNEN – festgelegt. Dort kann man lesen, wie die Regierungskoalition die Digitalisierung im Land gestalten will.

Der Koalitionsvertrag würdigt die Wichtigkeit eines effektiven und modernen Datenschutzes, der die Menschenwürde schützt und auch überindividuelle Risiken in den Blick nimmt. Zahlreiche Projekte werden angesprochen, die auch Datenschutzbezug haben.

In allen genannten Bereichen verfügt das ULD mit seinem Team über eine vieljährige Expertise. Wichtig bei diesen Themen ist, dass sie nicht zu eng, etwa als rein juristische oder rein technische Angelegenheiten, eingestuft werden. Hier ist es im Sinne von praktikablen, nachhaltigen und rechtssicheren Konzepten vonnöten, Kompetenzen verschiedener Disziplinen einfließen zu lassen.

Der Koalitionsvertrag geht zudem auf Open Data und die verstärkte Bereitstellung öffentlicher Daten ein. Hier stellen sich weitere Fragen, zu denen das Team im ULD ebenfalls sein Know-how anbieten kann: sowohl aus Datenschutz- als auch aus Informationsfreiheitssicht.

Aus dem Koalitionsvertrag 2022-2027 zu Open Data (Seite 214):
Wir starten deshalb eine Landesdatenbereitstellungs- und -nutzungsoffensive, die neben dem Aufbau eines Kompetenzzentrums für Datenmanagement, in dem wir unser Daten-Know-how bündeln wollen, einen weiteren Kern unserer künftigen Landesdatenstrategie bilden wird.
In der Verwaltung erschaffen wir eine Datenkompetenz (Data Literacy) mit einer Kultur des Datenteilens und Datennutzens. Dazu werden wir in den Ressorts die Funktion einer oder eines Datenbereitstellungsnutzungsbeauftragten einführen und das Thema Datennutzung als verpflichtende Standardfortbildung etablieren. […]

Der Koalitionsvertrag 2022-2027 ist abrufbar unter dem folgenden Link:

https://www.cdu-sh.de/sites/www.cdu-sh.de/files/koalitionsvertrag_2022-2027_.pdf
Kurzlink: https://uldsh.de/tb41-1-1

Was ist zu tun?
Sowohl in Gesetzgebungsvorhaben als auch bei der Umsetzung der Ideen des Koalitionsvertrags sowie anderen strategischen Planungen von Digitalisierungsprojekten sollte die Expertise des ULD weiterhin genutzt werden.

 

1.2          Zahlen und Fakten zum Jahr 2022

Im Vorjahr hatten wir berichtet, dass sich die Anzahl der Beschwerden im Großen und Ganzen eingependelt habe, aber die Datenpannenmeldungen stark gestiegen seien (40. TB, Tz. 1.2). Für das Jahr 2022 hat sich die Zahl der Beschwerden nicht weiter erhöht. Auch der Spitzenwert der Datenpannenmeldungen aus dem Jahr 2021 wurde nicht wieder erreicht. Dies liegt nach unserer Beobachtung daran, dass im Jahr 2021 zahlreiche Verantwortliche von gleichartigen Angriffen und Problemen in Bezug auf die von ihnen eingesetzte Technik betroffen waren und es daher zu Massenmeldungen in ähnlichen Konstellationen kam (40. TB, Tz. 6.3.3). Im Folgenden sind die genauen Zahlen dargestellt:

2022 erreichten uns 1.334 schriftliche Beschwerden (Vorjahr: 1.464), von denen 259 (Vorjahr: 283) nicht in unserer Zuständigkeit (öffentliche und nichtöffentliche Stellen in Schleswig-Holstein mit Ausnahme bestimmter Bereiche in Bundeszuständigkeit, z. B. Telekommunikation) lagen und an die zuständigen Behörden abgegeben werden mussten.

Insgesamt wurden in eigener Zuständigkeit 1.075 (Vorjahr: 1.181) Beschwerden bearbeitet, davon richteten sich mehr als zwei Drittel der Beschwerden gegen Unternehmen und andere nichtöffentliche Stellen (757; Vorjahr: 820), der Rest gegen Behörden (318; Vorjahr: 361). Dazu kamen 498 (Vorjahr: 712) Beratungen für den öffentlichen und den nichtöffentlichen Bereich. Die Abnahme der Zahl von Beratungen hängt insbesondere mit dem Rückgang der vielfältigen Nachfragen zur coronabezogenen Verarbeitung personenbezogener Daten zusammen, da hier die Verantwortlichen oft unsicher über die geltenden Regelungen und darüber, wie sie zu verstehen und in der eigenen Verarbeitung umzusetzen sind, waren.

Ohne vorherige Beschwerde wurden eine (Vorjahr: fünf) Prüfung im öffentlichen und zwei Prüfungen (Vorjahr: fünf) im nichtöffentlichen Bereich begonnen und neue Verfahren eingeleitet; zahlreiche Prüfungen aus dem Vorjahr wurden fortgeführt.

Die Zahl von 498 (Vorjahr: 649) gemeldeten Verletzungen des Schutzes personenbezogener Daten nach Artikel 33 DSGVO, § 41 LDSG oder § 65 BDSG in Verbindung mit § 500 StPO (Datenpannen) ist im Vergleich zum Vorjahr deutlich gesunken, liegt jedoch dennoch um mehr als 20 Prozent höher als im Jahr 2020 (406), obwohl keine mit den Sicherheitsbedrohungen im Jahr 2021 vergleichbaren Massenphänomene zu verzeichnen waren.

Insgesamt ist zu merken, dass vielen Verantwortlichen ihre Pflicht zur Datenpannenmeldung bekannt ist. Dennoch gibt es eine Dunkelziffer von Datenpannen, bei denen die Verantwortlichen der Meldepflicht nicht nachgekommen sind. Manchmal erfahren wir durch Beschwerden von solchen Verletzungen des Schutzes personenbezogener Daten.

Von den Abhilfemaßnahmen als Reaktion auf festgestellte Verstöße gegen das Datenschutzrecht wurde im Berichtsjahr insgesamt wie folgt Gebrauch gemacht:

• 21 Warnungen (Vorjahr: 60),
• 30 Verwarnungen (Vorjahr: 51),
• eine Anordnung zur Änderung oder Einschränkung der Verarbeitung (Vorjahr: vier),
• zwei Geldbußen (Vorjahr: drei).

Nach unserem Eindruck wird die Dienststelle der Landesbeauftragten für Datenschutz in Gesetzgebungsvorhaben auf Landesebene weitgehend eingebunden, wenn Aspekte des Datenschutzes oder des Informationszugangs betroffen sein könnten. Dies geschah im Berichtsjahr über die Ministerien parallel zur Anhörung von Verbänden oder über die Ausschüsse im Landtag in 12 (Vorjahr: 25) neuen Gesetzgebungsvorhaben; einige Themen aus Gesetzgebungsvorhaben des Vorjahres wurden auch im Berichtsjahr weiterverfolgt.

 

1.3          Evaluierungen der neueren Gesetze zu Datenschutz und Informationsfreiheit

Im vergangenen Tätigkeitsbericht (40. TB, Tz. 1.4) hatten wir bereits auf die Evaluierungsklauseln in einigen Gesetzen zu Datenschutz und Informationsfreiheit hingewiesen und von der Evaluierung zum Bundesdatenschutzgesetz im Jahr 2021 berichtet, die auf die Evaluierung der DSGVO im Jahr 2020 (39. TB, Tz. 1.4) folgte.

Evaluierungen sind nützlich, um Anpassungsbedarfe zu identifizieren und nötige oder gewünschte Änderungen umzusetzen. Ebenso wie die Gesetzgebung selbst bedarf dies einer ausreichenden Vorbereitung, einer Sorgfalt bei der Identifikation und Bewertung von etwaigen Kritikpunkten und vor allem eines Weitblicks bei der Formulierung und Diskussion der Änderungsvorschläge. Das Parlament als Gesetzgeber spielt dabei eine wichtige Rolle. Das ist zurzeit, nach der Bundestagswahl im Jahr 2021, auf Bundesebene zu merken, wo nun – im Jahr 2023 – die Frage entschieden werden muss, welche Änderungen das BDSG erfahren soll.

In diesem Zusammenhang sei auf die gemeinsame Stellungnahme der Datenschutzaufsichtsbehörden des Bundes und der Länder verwiesen, die unter dem folgenden Link zur Verfügung steht:

https://www.datenschutzkonferenz-online.de/media/st/20210316_DSK_evaluierung_BDSG.pdf
Kurzlink: https://uldsh.de/tb41-1-3a

Im Abschlussbericht des Bundesministeriums des Innern und für Heimat, das für die Evaluierung zuständig war, heißt es zwar, dass „die überwiegende Zahl der Regelungen des BDSG als sachgerecht, praktikabel und normenklar angesehen werden kann“. Jedoch sollen zu einigen Regelungen Klarstellungen, Umformulierungen oder Anpassungen geprüft werden.

Die Zusammenfassung der Evaluierung durch das BMI ist hier verfügbar:

https://www.bmi.bund.de/SharedDocs/evaluierung-von-gesetzen/evaluierung-bdsg.html
Kurzlink: https://uldsh.de/tb41-1-3b

Während das Bundesdatenschutzgesetz vereinfacht gesagt die Datenschutzregelungen für die Wirtschaft und für Bundesbehörden enthält, richtet sich das Landesdatenschutzgesetz Schleswig-Holstein (LDSG) an den öffentlichen Bereich im Land. Das LDSG enthält eine Pflicht zur Evaluierung, die bisher aussteht. Vor der Landtagswahl hatte zwar das Ministerium für Inneres, Ländliche Räume, Integration und Gleichstellung (MILIG) eine Befragung durchgeführt, mit der Einschätzungen der maßgeblichen Rechtsanwender gesammelt wurden. Die Evaluierung muss jedoch noch durchgeführt werden. Da im LDSG und BDSG einige Regelungen vollständig oder nahezu wortgleich formuliert sind, sollten dabei die Planungen auf Bundesebene für Änderungen im BDSG verfolgt werden, um zu entscheiden, inwieweit dies in ähnlicher Form in einer LDSG-Novellierung ihren Niederschlag finden soll.

Auf die Evaluationsklausel im Informationszugangsgesetz Schleswig-Holstein (IZG-SH) hatten wir bereits mehrfach hingewiesen (u. a. 40. TB, Tz. 1.4). Eigentlich hätte eine Evaluierung zum Jahr 2020 durchgeführt werden sollen, doch nach unserer Kenntnis gibt es dazu noch keinen Bericht, zu dem wir dann eine Stellungnahme abgeben würden.

Im Berichtsjahr wurde das IZG-SH geändert und im Zuge dessen die Regelung des § 14 IZG-SH über „Die oder der Landesbeauftragte für Informationszugang“, in der unsere Aufgaben und Befugnisse festgelegt werden, neu gefasst (Tz. 12.4). Damit wurde mit einem Fehlverweis in das 2018 geänderte Landesdatenschutzgesetz aufgeräumt. Wir sind im Vorfeld zu den geplanten Änderungen angehört worden und haben eine Stellungnahme abgegeben.

Unabhängig von dieser Änderung ist gesetzlich festgelegt, die Evaluierung des IZG-SH in dieser Legislaturperiode durchzuführen. Auch für den Fall, dass die 2020er Evaluierung nicht mehr nachgeholt würde, ist zu empfehlen, frühzeitig ein Konzept für die kommende Evaluierung zu erstellen, für die im Jahr 2025 dem Landtag ein Bericht vorzulegen ist. Sollten nämlich für den Zweck der Evaluierung bestimmte Kennzahlen der Rechtsanwendenden – der öffentlichen Stellen im Land – erhoben werden, sollte sichergestellt sein, dass dies auch ohne großen Aufwand leistbar ist. Eine Erhebung von Anfragezahlen mag noch einfach sein und sich aus der Aktensystematik ergeben, aber falls im Rahmen der Evaluation Fragen zu über die Zeit verfügbaren Ressourcen, zu pro Anfrage notwendigen Aufwänden oder zu bestimmten Kategorien von Themen gestellt würden, wäre dies im Nachhinein nur sehr aufwendig ermittelbar. Wüsste eine informationspflichtige Stelle aber, welche Kennzahlen oder Kategorisierungen eine Rolle spielen sollen, könnten diese Informationen gleich im Zuge der Bearbeitung eines Antrags auf Informationszugang erhoben werden.

Geprüft werden sollte auch, inwieweit eine Orientierung an bereits stattgefundenen Evaluierungen auf Basis anderer Informationszugangs- oder Transparenzgesetze sinnvoll erscheint.

Eine weitere Aufgabe für den schleswig-holsteinischen Gesetzgeber in der aktuellen Legislaturperiode könnte die Verbesserung der bestehenden Gesetze in puncto der Übereinstimmung mit europarechtlichen Vorgaben zum Datenschutz und zur dort eingeführten Terminologie sein. Andernfalls besteht nämlich das Problem von Schutzlücken oder von Regelungslücken.

Ein besonderes Augenmerk ist vonnöten, wenn Öffnungs- oder Spezifikationsklauseln der DSGVO genutzt werden oder es sich um Gesetzgebungsverfahren zur Umsetzung der EU-Richtlinie 2016/680 im Bereich Justiz und Inneres handelt. Wir hatten zwar schon häufiger auf dieses Problem allgemein (40. TB, Tz. 1.4) und in unseren Stellungnahmen zu den spezifischen Gesetzgebungsverfahren hingewiesen, doch wurde dies nicht immer umgesetzt.

Um Beispiele zu nennen: Der Begriff „Verarbeitung“ ist nunmehr zum Oberbegriff für alle Arten der Verarbeitung geworden, doch im Landesrecht wird „Verarbeitung“ teilweise noch auf derselben Ebene wie die Begriffe „Erhebung“, „Nutzung“ und „Übermittlung“ verwendet, die mittlerweile der „Verarbeitung“ untergeordnet sind. Was soll aber in diesen Fällen mit „Verarbeitung“ gemeint sein: jede Art von Verarbeitung, wie europarechtlich definiert, oder die enger definierte „Verarbeitung“, die nicht Erhebung, Nutzung und Übermittlung umfasst? Ebenfalls im Landesrecht zu finden sind Begriffe wie „pseudonymisiert“ oder „anonymisiert“, die teilweise in anderen Definitionen verwendet werden, als dies nach der Datenschutzreform der Fall sein müsste.

 

1.4          2022: Vorsitz der Konferenz der Informationsfreiheitsbeauftragten

Im Berichtsjahr hatte die Landesbeauftragte für Datenschutz – oder vielmehr die Landesbeauftragte für Informationszugang, wie die Bezeichnung in § 14 IZG-SH lautet – den Vorsitz der Konferenz der Informationsfreiheitsbeauftragten (IFK) inne. Der Vorsitz wechselt jährlich, und da der Bund und fast alle Länder mittlerweile über ein Informationsfreiheits- oder Transparenzgesetz verfügen, kommt Schleswig-Holstein das nächste Mal vermutlich etwa im Jahr 2038 dran. Damit bot sich 2022 eine Gelegenheit, die anderen Beauftragten für Informationsfreiheit des Bundes und der Länder nach Schleswig-Holstein einzuladen und ihnen insbesondere die hiesigen Ansätze für Informationszugang und Transparenzportal sowie auch – durch eingeladene Vortragende – die Informationsfreiheitskulturen in Dänemark, Schweden und Norwegen näherzubringen (Tz. 12.1).

Wie angekündigt (40. TB, Tz. 1.5) haben wir uns im Jahr 2022 verstärkt technischen und organisatorischen Maßnahmen und Gestaltungsoptionen im Sinne der Informationsfreiheit „by Design“ gewidmet. Bei der Bearbeitung des Themas haben wir schnell gemerkt, dass es nicht nur um den Informationszugang auf Antrag, sondern auch um andere Arten der Datenherausgabe geht, die in einer grundrechtskonformen und praktikablen Art und Weise zu gestalten sind.

Dabei ist uns klar, dass zwar organisatorische und technische Maßnahmen die Bearbeitung zu Informationsfreiheitsanträgen oder Bereitstellung von Informationen unterstützen können, aber eine vollständige Automatisierung – quasi eine überschnelle Informationsfreiheit „by Knopfdruck“ ohne jegliche Prüfung von rechtlich normierten Ausschlussgründen – zu vermeiden ist. Zu diesen Ausschlussgründen gehört nicht nur das Recht auf Datenschutz, sondern es müssen auch Risiken berücksichtigt werden, wenn Geschäftsgeheimnisse oder bedeutsame Schutzgüter der öffentlichen Sicherheit betroffen sind. Doch selbst wenn menschliches Fachwissen und Risikobewusstsein weiterhin eingebracht werden müssen, kann der Aufwand für eine rechtskonforme Datenherausgabe signifikant verringert werden.

Passend zum Vorsitz der IFK haben wir im Jahr 2022 unsere Sommerakademie zum Thema „Informationsfreiheit by Design“ ausgerichtet (Tz. 13).

1.5          2023: Vorsitz der Datenschutzkonferenz

Im Jahr 2022 war die Landesbeauftragte für Datenschutz die Vorsitzende der Konferenz der Informationsfreiheitsbeauftragten (Tz. 1.4). Im Jahr 2023 ist sie nun die Vorsitzende der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, kurz: Datenschutzkonferenz oder DSK. Die Aufgabe der Datenschutzkonferenz ist es, die Datenschutzgrundrechte zu wahren und zu schützen, eine einheitliche Anwendung des europäischen und nationalen Datenschutzrechts zu erreichen und gemeinsam für seine Fortentwicklung einzutreten. Dies geschieht namentlich durch Entschließungen, Beschlüsse, Orientierungshilfen, Standardisierungen, Stellungnahmen, Pressemitteilungen und Festlegungen.

Im Jahr 2023 werden der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ebenso wie die anderen Landesbeauftragten für Datenschutz mehrfach auf unsere Einladung zu Sitzungen und Besprechungen nach Schleswig-Holstein kommen. Zusätzlich werden wir uns regelmäßig in Videokonferenzen austauschen und die aktuellen Themen besprechen. Dies dient auch der Kohärenz der Auffassungen der Datenschutzaufsichtsbehörden in Deutschland und ist zudem wichtig, um mit einer Stimme im Europäischen Datenschutzausschuss aufzutreten, dort zu einheitlichen Auslegungen der Kernkonzepte der DSGVO mitzuarbeiten und an verbindlichen Beschlüssen in Streitigkeiten über grenzüberschreitende Verarbeitungsaktivitäten mitzuwirken.

 

Zum Inhaltsverzeichnis

Zum nächsten Kapitel