Nachweis zählt: Datenschutz & IT-Sicherheit ohne Risiko

Wenn Datenschutz und IT-Sicherheit auf Knopfdruck „mitlaufen“, wird aus Compliance schnell ein Revisions- und Haftungsrisiko.

Die aktuellen Leitlinien und Entscheidungen aus Datenschutzaufsicht und Gerichten zeigen: Ob KI, Videoüberwachung oder Cloud-Nutzung zählt vor allem, ob Rechtmäßigkeit, Transparenz, Sicherheit und Löschung tatsächlich nachweisbar umgesetzt sind.

Geldbußen, Haftung und „neue“ Risiken: Warum der Nachweis zählt

Der EDSA hat Leitlinien beschlossen, die festlegen, wie Datenschutzbehörden Geldbußen im Zusammenspiel mit anderen Abhilfemaßnahmen bewerten. Dafür wird u.a. eine fünfstufige Methodik beschrieben, inklusive Prüfung, ob der Verstoß zu einer Geldbuße führen kann, ob Vorsatz oder Fahrlässigkeit vorliegt, und ob erschwerende oder mildernde Umstände greifen.

Für Entscheider ist daran weniger die Höhe einzelner Sanktionen relevant, sondern die Logik dahinter: Wiederholte Verstöße sollen nicht mehr als geringfügig eingestuft werden. Gleichzeitig können Behörden neben einer Geldbuße weitere Maßnahmen wie Verwarnungen, Anordnungen, Beschränkungen, Verbote oder den Entzug von Zertifizierungen aussprechen.

Dieses Muster passt zu mehreren Meldungen der aktuellen Ausgabe: Von Bußgeldern wegen unrechtmäßiger Standortdatenverarbeitung bis zu Sanktionen wegen unzureichender Anonymisierung. Der gemeinsame Nenner ist der fehlende bzw. unzureichende Nachweis rechtmäßiger Verarbeitung.

KI verstärkt typische Datenschutzfehler: Transparenz, Rechtsgrundlage, Kontrolle

Bei KI-Prozessen wird Datenschutz zunehmend nicht als „Dokumentationsaufgabe“ gesehen, sondern als Frage, ob Betroffene die Verarbeitung verstehen und ob Unternehmen die Verarbeitung risikobasiert steuern. So hat die spanische Aufsicht ein Unternehmen verwarnt, das KI zur Analyse von Lebensläufen und zur Vergabe von Scores nutzte: Es wurden Datenschutz durch Technikgestaltung, datenschutzfreundliche Voreinstellungen, Risiko- und ggf. Folgenabschätzungen sowie Transparenz gegenüber Betroffenen eingefordert.

Ähnlich deutlich ist der Hinweis aus dem Bereich personalisierter KI-Werbung: Der Landesbeauftragte Niedersachsen sieht ein erhebliches datenschutz- und persönlichkeitsrechtliches Risiko, weil Chatverläufe in einem breiten Spektrum auch hochpersönliche Themen betreffen können. Die Frage ist hier nicht nur, ob eine Einwilligung vorliegt, sondern wie und wofür Daten genutzt werden.

Smart Glasses und Videoüberwachung: Verantwortlichkeit lässt sich nicht „auslagern“

Bei „Smart Glasses“ wird in der Ausgabe betont: Verantwortlich für Aufnahmen sind die Trägerinnen und Träger. Das Risiko steigt, wenn Geräte kaum unterscheidbar sind und besonders auf den Nahbereich eines Gegenübers zielen können. Zudem reichen Hinweise über eine bloße „Hinweis-LED“ für informierte Einwilligung nicht aus, wenn eine solche überhaupt als Rechtsgrundlage in Betracht kommt.

Für Unternehmen ist das insbesondere dann wichtig, wenn im eigenen Umfeld Videotechnik Beschwerde- oder Haftungsrisiken erzeugen kann: Entscheider sollten prüfen, ob Zwecke, Rechtsgrundlagen, Information der Betroffenen und technische Gestaltung zusammenpassen.

Auch die DSK-Orientierungshilfe zur Videoüberwachung in Fitnessstudios adressiert einen typischen Praxishebel: Beschwerdeanlässe nehmen u.a. mit personallosen Studios zu. Die Handreichung legt Bewertungsmaßstäbe fest und soll Betreiber beim datenschutzkonformen Einzusatz unterstützen.

Anonymisierung und Löschung: „Noch intern“ kann bereits zu viel sein

Im Bereich Anonymisierung bleibt eine Kernfrage offen, die Unternehmen unmittelbar betrifft: Wann ist eine Verarbeitung wirklich nicht mehr personenbezogen? Die italienische Sanktion gegen IQVIA (7 Mio. Euro) belegt, dass Anonymisierung unzureichend sein kann, wenn eine Nachverfolgung der Patienten über einen Code möglich war und in Kombination mit weiteren Detailinformationen eine Identifizierung einzelner Personen möglich wurde.

Hinzu kommt ein zweites, oft übersehenes Risiko: Löschpflichten enden nicht dort, wo im Fachbereich „nichts mehr sichtbar ist“. Das österreichische Bundesverwaltungsgericht bestätigte eine Rechtsverletzung, weil zwar Ausgangsdaten gelöscht waren, aber diese Information noch bei der Scoreberechnung berücksichtigt wurde. Für die Praxis heißt das: Löschung muss auch in abgeleiteten Verarbeitungen nachgezogen werden.

Auch im Kontext von Auskunftsverfahren wird ein verfahrensrelevanter Punkt sichtbar: Die DSB Österreich vertritt, dass Verantwortliche keine Daten löschen sollen, während ein Auskunftsantrag läuft oder eine Beschwerde anhängig ist, weil sonst das Recht auf Auskunft vereitelt werden könne.

Ein zusammenhängender Prüfansatz für Datenschutz und Informationssicherheit

Die Meldungen in Ausgabe 135 zeigen, dass „saubere Prozesse“ nicht automatisch entstehen, wenn Technik eingesetzt wird. Entscheidend ist, ob Sie rechtmäßige Verarbeitung nachweisen können, ob Betroffene sinnvoll informiert sind und ob Sicherheits- und Löschanforderungen tatsächlich durchgängig umgesetzt werden.

Ein strukturierter Ansatz ist dabei die Verbindung von Datenschutzanforderungen mit den betrieblichen Sicherheits- und Nachweisprozessen. Besonders sinnvoll ist es, solche Prüfungen nicht nur projektbezogen zu machen, sondern als wiederkehrenden Baustein in Ihrer Governance zu verankern, z.B. im Rahmen eines systematischen Datenschutz-Auditprozesses.

Wenn Sie Ihre Nachweisfähigkeit absichern möchten, kann ein Datenschutz-Audit helfen, Lücken in Verarbeitung, Dokumentation, Lösch- und Informationsketten sowie in der praktischen Umsetzung von „Datenschutz durch Technikgestaltung“ sichtbar zu machen.

Die wichtigsten Fragen und Antworten

Welche Rolle spielt es, ob ein Verstoß „geringfügig“ ist, wenn Datenschutzbehörden auch andere Abhilfemaßnahmen nutzen können?

Der EDSA beschreibt eine fünfstufige Methodik, die auch die Bewertung umfasst, ob eine Geldbuße in Betracht kommt und ob ein Verstoß geringfügig ist. Wiederholte Verstöße sollen nicht mehr als geringfügig eingestuft werden. Unabhängig davon können Behörden parallel weitere Abhilfemaßnahmen wie Verwarnungen, Anordnungen oder Beschränkungen verhängen.

Was muss bei KI im Recruiting praktisch überprüft werden, damit Transparenz und „menschliche Mitwirkung“ nicht nur auf dem Papier stehen?

Aus der Verwarnung der spanischen Aufsicht folgt, dass Sie Risiken bewerten, bei hohen Risiken eine Datenschutz-Folgenabschätzung durchführen (wenn erforderlich) und insbesondere Transparenz gegenüber Bewerbern gewährleisten müssen. Außerdem ist zu prüfen, ob eine mögliche Anwendung von Art. 22 DS-GVO vorliegt und ob menschliche Mitwirkung wirksam ist, sodass die Entscheidung nicht de facto vom automatisierten Ergebnis determiniert wird.

Kann „Einwilligung“ oder ein Hinweis auf einer Technik (z.B. LED) ausreichen, wenn Betroffene unbemerkt gefilmt werden könnten?

Bei Smart Glasses wird betont, dass eine informierte Einwilligung voraussetzt, dass Betroffene vorab entsprechend informiert werden. Eine bloße Hinweis-LED reicht dafür nicht aus. Zudem können bestimmte KI-Nutzungen rechtlich unzulässig sein, z.B. KI-gestützte Gesichtserkennung im öffentlichen Raum.

Was bedeutet die Entscheidung zu Löschung und Scoreberechnung konkret für Löschkonzepte?

Das Bundesverwaltungsgericht bestätigte eine Rechtsverletzung, weil gelöschte Ausgangsdaten weiterhin in der Scoreberechnung berücksichtigt wurden. Für Löschkonzepte heißt das: Sie müssen nicht nur die Primärdaten, sondern auch abgeleitete Verarbeitungen und abgeleitete Datensätze einschließen.

Quelle: Berufsverband der Datenschutzbeauftragten Deutschlands (BvD) e.V.