Dr. Juliane Hundert, Sächsische Datenschutz- und Transparenzbeauftragte über die Tücken des Datenschutzes

Auf der Tagesordnung der Veranstaltung des Dresdener Wirtschaftsrates standen unternehmerisch relevante Themen rund um den Datenschutz. Der Vorsitzende der Landesfachkommission Digitales Marcus Putschli leitete die Sitzung, bei der Dr. Juliane Hundert, Sächsische Datenschutz- und Transparenzbeauftragte sowie Expertin für Datenschutzrecht und -praxis, einen Vortrag hielt. Die Kommissionsmitglieder möchten Datenschutz als notwendiges Mittel anerkennen, um das Grundrecht auf Schutz der Privatsphäre natürlicher Personen zu garantieren. Sie betonten jedoch, dass der Datenschutz, hauptsächlich die Einhaltung der DSGVO, das unternehmerische Agieren, vor allem online, nicht behindern dürfe. Folgende Forderungen wurden erarbeitet:

Foto: © ronaldbonss.com

1. Die Kommissionsmitglieder erkennen Datenschutz als informationelle Selbstbestimmung an.
2. Die Unternehmen brauchen einen einheitlichen Kompass für das Erlaubte und Verbotene. Dieser fehlt aktuell in verständlicher und komprimierter Form.
3. Unerlaubte und vorsätzliche Verwendung personenbezogener Daten für Geschäftszwecke muss je nach Schwere des Vergehens per Bußgeld sanktioniert werden. 
4. Eine bessere Transparenz und Synchronisierung von Vorschriften wie der DSGVO, des Bundesdatenschutzgesetzes, des Digital Service Act (DAS), der EU-ePrivacy-Verordnung, des Digitale-Dienste-Gesetzes sowie des Gesetzes über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten (TDDDG) sind erforderlich.
5. Es sind einheitliche internationale Standards beim Datenschutz im digitalen Raum, insbesondere bei der Speicherung technisch nicht notwendiger Cookies, anzustreben. Zwischen europäischen und außereuropäischen Website-Betreibern, die Beziehungen mit deutschen Kunden eingehen, müssen gleiche Wettbewerbsbedingungen herrschen.
6. Geschäftsprozesse dürfen nicht durch einen „übergenauen“ Datenschutz behindert werden. Die Mitglieder plädieren für einen „Datenschutz mit Augenmaß“. Die Regulierung sollte insbesondere bei Webauftritten und dort zu integrierenden neuen Tools (z. B. Chatfunktion bzw. Bewerberportale auf Websites) so minimal wie nötig ausfallen. Das Betreiben einer Website sollte nicht aufgrund von Datenschutzbestimmungen zu einem großen Problem hochstilisiert werden.
7. Es ist ein ständiger und regelmäßiger Austausch mit der Sächsischen Datenschutzbehörde erforderlich.

In ihrem Vortrag beleuchtete Dr. Juliane Hundert die wichtigsten rechtlichen Herausforderungen für kleine und mittlere Unternehmen (KMU) im Umgang mit Künstlicher Intelligenz sowie bei der Gestaltung einer rechtskonformen Onlinepräsenz. Themen wie DSGVO-konforme Datennutzung, der rechtssichere Einsatz von Cookies sowie aktuelle rechtliche Entwicklungen rund um KI standen im Fokus des Arbeitstreffens. Praxisnahe Beispiele veranschaulichten, wie typische Fallstricke vermieden werden können und Unternehmensprozesse datenschutzkonform gestaltet werden sollten.

Foto: Wirtschaftsrat

Die Sächsische Datenschutzbeauftragte sei eine Institution, die ein offenes Ohr für die Belange der Unternehmen habe und die die Überwachung der DSGVO und anderer relevanter Gesetze mit ihrem Team aus 41 Mitarbeitern pragmatisch und nicht übergenau angehe. Die Leitung der kleinen Behörde werde im Sächsischen Landtag für sechs Jahre gewählt. Als Verfassungsorgan gingen dort jährlich etwa 1.200 Beschwerden ein, überwiegend aus dem nicht öffentlichen Bereich. Dies allein mache einen Großteil der behördlichen Arbeit aus. Darüber hinaus führe die Behörde beratende Tätigkeiten durch und verhänge bei Verstößen Sanktionen – vom Warnhinweis bis zum Bußgeld.

Wichtig sei, dass es beim Datenschutz ausschließlich um personenbezogene Daten (Name, Anschrift, Persönlichkeitsmerkmale, Geschlecht, Vermögensstatus, Vertragsbeziehungen, Gesundheitsdaten, politische Überzeugungen, Religion, sexuelle Orientierung etc.) gehe. Für persönliche oder familiäre Tätigkeiten gelte die DSGVO nicht. Dr. Juliane Hundert verwies auf eine „To-do-Liste für Unternehmen“, die dabei helfe, einen rechtlich sauberen Datenschutz zu garantieren sowie Fehler zu vermeiden. Diese Liste umfasst fünf Punkte: 1. Datenschutz organisieren; 2. Informieren; 3. Auskunft erteilen; 4. Datenpannen melden; 5. Websites datenschutzgerecht gestalten.

Bei Cookies, also bei kleinen Datensätzen, die im Browser des Nutzers gespeichert werden, sei zwischen technisch notwendigen (sorgen für das Funktionieren der Website) und technisch nicht notwendigen zu unterscheiden, um die nutzerseitige Zustimmung zum Speichern im Internetverkehr zu gewähren. Es gebe Websites, die eine saubere Unterscheidung bzw. die erforderlichen Auswahlmöglichkeiten vorsähen, aber auch welche, die Nutzerdaten ohne weitere Differenzierung speicherten bzw. welche, die es dem Nutzer erschwerten, seine Daten zu schützen. Bei technisch nicht notwendigen Cookies handele es sich um Datensätze, die zum Tracking, Targeting zu Werbezwecken, für die Analyse des Nutzerverhaltens und für Social Media verwendet werden. Beispiele für technisch notwendige Cookies seien hingegen das Einsehen eines virtuellen Warenkorbes bzw. vorangegangener Bestellungen im Internet.

Abschließend erläuterte Dr. Juliane Hundert, dass der Datenschutz in Hinblick auf Künstliche Intelligenz (KI) umfassend sowie noch nicht ausgereift sei. Sie empfahl, personenbezogene Daten zunächst aus der KI herauszuhalten, um datenschutztechnisch auf der sicheren Seite zu stehen, solange es noch keinen verbindlichen Rechtsrahmen dafür gebe.