Tätigkeitsbericht

Anstieg bei Datenpannen, Beschwerden und Beratungsanfragen
Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) Dr. Juliane Hundert hat am Dienstag in Dresden ihren »Tätigkeitsbericht Datenschutz 2024« an Landtagspräsident Alexander Dierks überreicht. Der Bericht ist über 200 Seiten stark. Er enthält aktuelle Fälle, Statistiken und Hinweise zum Grundrecht auf informationelle Selbstbestimmung.
Dr. Juliane Hundert: »Unsere Demokratie, unsere freiheitlichen Werte und damit auch der Datenschutz stehen aktuell unter erheblichen Druck. Für den Schutz der Privatsphäre einzustehen, ist daher eine wichtige Aufgabe – für die Menschen und für die Demokratie. Dabei geht es auch darum, die Zukunft zu gestalten. Die heute verarbeiteten personenbezogenen Daten werden vielleicht morgen schon für andere Zwecke verwendet, mit unüberschaubaren Folgen für die betroffenen Personen. Deshalb kommt dem Datenschutz in unserer Informationsgesellschaft eine so immense Bedeutung zu. Er ist nicht nur eine tragende Säule unserer Freiheit, sondern zugleich ein Erfolgsfaktor für die breite gesellschaftliche Akzeptanz moderner Onlinedienste und neuer Technologien wie der Künstlichen Intelligenz. Beides waren Schwerpunkte meiner Aufsichtstätigkeit im vergangenen Jahr.«

Datenschutz 2024 in Zahlen
Im Berichtszeitraum gingen bei der SDTB rund 1.260 Beschwerden und Kontrollanregungen zu potenziellen Datenschutzverstößen ein. Das Aufkommen stieg um 8 Prozent gegenüber dem Vorjahr und betraf sowohl öffentliche als auch privatwirtschaftliche Stellen (S. 137 f.).

Einen neuen Höchststand registrierte Dr. Juliane Hundert bei den Meldungen von Datenpannen: 2024 waren es erstmalig über 1.000. Zu den häufigsten Datenpannen gehörten der Fehlversand und der Verlust von postalischen Unterlagen, der offene E-Mail-Verteiler, das Abhandenkommen von Datenträgern durch Einbruch oder Diebstahl und das Abgreifen personenbezogener Daten durch Cyberkriminalität (S. 122 ff.).

Einen Zuwachs verzeichnete die SDTB auch bei den schriftlichen Beratungsanfragen (740). 2023 waren es noch knapp 600 Vorgänge (S. 138). »Oftmals wenden sich betriebliche und behördliche Datenschutzbeauftragte mit ihren Fragen an mich. Somit erfahre ich aus erster Hand, welche Themen die sächsische Wirtschaft und Verwaltung derzeit beschäftigen. Meine Beratungstätigkeit und die entsprechenden Informationen tragen wesentlich dazu bei, dass Datenverarbeitungen rechtskonform gestaltet werden«, betont Sachsens Datenschutzbeauftragte.

Im weiteren Sinne erstreckt sich die Beratungstätigkeit auch auf Rechtsetzungsvorhaben, zu denen die SDTB im Berichtszeitraum 12 Stellungnahmen zu Gesetzes- und Verordnungsentwürfen abgab, beispielsweise zum Gesetz zur klinischen und epidemiologischen Krebsregistrierung im Freistaat Sachsen oder die Neufassung des Sächsischen Verfassungsschutzgesetzes (S. 143 f.).

Vergangenes Jahr hat die SDTB im nichtöffentlichen Bereich in 18 Verfahren 19 Bußgelder erlassen. Die Gesamtsumme betrug 199.000 Euro. Darunter waren erstmals Bußgelder gegen juristische Personen (S. 159 ff.).
Im öffentlichen Bereich wurden im zurückliegenden Jahr 11 Verfahren mit einem Bußgeld abgeschlossen. Die Summe festgesetzter Buß- und Verwarnungsgelder belief sich hier auf 14.580 Euro (S. 154 ff.).

KI in Schulen (S. 36 f.) und der Verwaltung (S. 34 f.)
Wie gut Künstliche Intelligenz und Datenschutz zusammenpassen, belegt das Projekt des digitalen Assistenten KAI. Mit dem KI-Werkzeug können Lehrkräfte in Sachsen sowohl Texte als auch Grafiken erstellen, zum Beispiel Aufgaben und Bilder für Arbeitsblätter. Das Tool nutzt Schnittstellen zu Anbietern von generativer KI, ohne dabei die eingegebenen Daten für das weitere Training der KI-Modelle zu verwenden. Zudem lassen sich die Daten einzelnen Personen nicht zuordnen.
Die Entwicklung von KAI hat die SDTB begleitet. Weiterhin unterstützte sie die Erarbeitung einer datenschutzkonformen KI-Richtlinie für die sächsische Verwaltung.

Besserer Datenschutz auf sächsischen Websites (S. 37 ff.)
Um einen Überblick über den aktuellen Stand des Datenschutzes auf sächsischen Websites zu bekommen, hat die Datenschutzbeauftragte über 30.000 Internetauftritte einem Monitoring unterzogen. Im Fokus standen dabei vor allem die Datenverbindungen zu Drittanbietern sowie Cookies, mit denen Website-Besucherinnen und -Besucher seitenübergreifend verfolgt werden können. Die Auswertung ergab, dass vor allem der Webanalyse-Dienst Google Analytics häufig rechtswidrig eingebunden war. Wer mit diesem Tracking-Werkzeug auf seiner Website das Nutzerverhalten überwachen möchte, benötigt von den Besucherinnen und Besuchern der Seite zuvor eine freiwillige und eindeutige Einwilligung. In etwa 2.300 Fällen waren Betreiberinnen und Betreiber von Webauftritten dieser Pflicht nicht in ausreichender Form nachgekommen.
Eine spätere Nachuntersuchung zeigte einen Rückgang der rechtswidrigen Datenverarbeitung bei 1.500 Onlineauftritten (65 Prozent). Zudem hatten viele Verantwortliche ebenso bei anderen einwilligungsbedürftigen Verbindungen und Cookies nachgebessert.
»Der Erfolg dieser ersten Massenprüfung und die damit einhergehende deutliche Verbesserung des Datenschutzniveaus haben mich darin bestärkt, in regelmäßigen Abständen weitere Kontrollen durchzuführen«, kündigt Dr. Juliane Hundert an.

Mit Datenschutz im Internet befasste sich die Aufsichtsbehörde 2024 auch in vielen weiteren Verfahren. So hatte beispielsweise ein Autohändler 18 Tracking-Elemente rechtswidrig auf einer Internetplattform eingebunden. Das verwaltungsrechtliche Verfahren endete mit einer Verwarnung (S. 109 ff.). In einem anderen Fall speicherte ein Onlinelieferdienst für Essen das Passwort eines Kunden unverschlüsselt – ein Datenschutzverstoß (S. 113 f.).

Automatisierte Gesichtserkennung in Strafverfahren (S. 26 ff.)
Aufgrund des tiefen Eingriffs in die Grundrechte von Bürgerinnen und Bürgern hat sich Sachsens Datenschutzbeauftragte intensiv mit dem Personen-Identifikations-System PerIS beschäftigt. Es ermöglicht der sächsischen Polizei einen biometrischen Liveabgleich der Aufnahmen mit Referenzbildern.
Dr. Juliane Hundert erklärt: »Für den automatisierten biometrischen Abgleich von Personenbildern aus dem öffentlichen Raum mit Referenzbildern in Echtzeit gibt es mit Inkrafttreten der europäischen KI-Verordnung keine Rechtsgrundlage. Aber auch für biometrische Abgleiche von einer Vielzahl im öffentlichen Raum erfasster Personenaufnahmen ohne Echtzeit bedarf es einer normenklaren gesetzlichen Grundlage, die grundrechtsschonende Vorgaben enthält. Aktuell gibt es eine solche Rechtsgrundlage in der Strafprozessordnung nicht.«

Datenschutzfragen im Zusammenhang mit der Arbeit des 2. Untersuchungsausschusses des 7. Sächsischen Landtags (S. 149 ff.)
Der 2. Untersuchungsausschuss des 7. Sächsischen Landtags, der sich mit der Förderpraxis integrativer Maßnahmen beschäftigte, forderte auch personenbezogene Daten von Beschäftigten in den geförderten Projekten an. Die Unterlagen enthielten Angaben zu Beruf, Ausbildung und Familie. Sie waren bei der Sächsischen Aufbaubank und dem Sächsischen Staatsministerium für Soziales und Gesellschaftlichen Zusammenhalt gespeichert.
»Ich habe die Behörden, aber auch die Petenten, darauf hingewiesen, dass dem Untersuchungsausschuss Dokumente zu übersenden sind, sofern sichergestellt ist, dass hochsensible Daten über den Untersuchungsausschuss nicht an die Öffentlichkeit geraten. Weiterhin habe ich darauf aufmerksam gemacht, dass die Übermittlung der Unterlagen vom Untersuchungs- und Beweisantrag gedeckt sein muss und keine Daten enthalten sein dürfen, die den Kernbereich der privaten Lebensgestaltung betreffen.«
Mit Blick auf den 1. Untersuchungsausschuss der 8. Legislaturperiode (Corona) hat die SDTB diese Hinweise an alle Ressorts erneut übermittelt. Dr. Juliane Hundert: »Da ich Kenntnis davon erhalten habe, dass in den Unterlagen, die der Untersuchungsausschuss angefordert hat, auch Tausende von Bürgeranfragen enthalten sind, die viele Krankheitsbilder und persönlichste Gesundheitsdaten enthalten, habe ich den Untersuchungsausschuss gebeten, von einer Anforderung dieser Bürgeranfragen abzusehen. Gleichwohl habe ich ihm nicht das Recht abgesprochen, diese Unterlagen anzufordern. Der Untersuchungsauftrag dürfte sich allerdings auch ohne diese Bürgeranliegen erfüllen lassen. Die Bürgerinnen und Bürger, die sich mit ihren Nöten in der Coronazeit an die Behörden gewandt haben, rechneten sicher nicht damit, dass ihre Daten auch Gegenstand eines Untersuchungsausschusses werden.«

Großes Themenspektrum im Berichtszeitraum
Im Tätigkeitsbericht Datenschutz 2024 sind etliche weitere Datenschutzfälle nachzulesen, beispielsweise über ein Ordnungsamt, das rechtwidrig »Elterntaxis« vor einer Schule fotografierte (S. 188 ff.) Weiterhin befasste sich die SDTB unter anderem mit der Abforderung einer Ausweiskopie bei Untervermietung (S. 51 ff.), der elektronischen Arbeitsunfähigkeitsbescheinigung (S. 54 ff.), dem Informations- und Akteneinsichtsrecht von Gemeinde- und Stadträten (S. 83 ff.) und der Onlinewache der Polizei Sachsen (S. 183 ff.).

Bezug des Tätigkeitsberichts Datenschutz 2024
Der Bericht kann über den zentralen Broschürenversand des Freistaates Sachsen heruntergeladen und kostenfrei als Printexemplar bestellt werden: publikationen.sachsen.de

Pressemitteilung der Sächsischen Datenschutz- und Transparenzbeauftragten vom 16.05.2023

Die Sächsische Datenschutz- und Transparenzbeauftragte (SDTB) Dr. Juliane Hundert hat am Dienstag in Dresden ihren Datenschutz-Tätigkeitsbericht für das zurückliegende Jahr vorgestellt. Auf über 230 Seiten sind die Schwerpunkte der Datenschutzaufsicht, Statistiken, Hinweise zur Auslegung der Datenschutz-Grundverordnung, zur Sanktionspraxis und Datenschutz-Rechtsprechung zusammengefasst.

Facebook-Fanpages in der Kritik
Im Berichtszeitraum hat die SDTB ein aufsichtsrechtliches Verfahren gegen die Sächsische Staatskanzlei als Betreiberin einer Facebook-Fanpage eingeleitet (1.1). Dabei handelt es sich um ein Musterverfahren, denn auch andere Ministerien oder öffentliche Stellen sind auf der Plattform des Meta-Konzerns vertreten. Die Staatskanzlei hatte nach mehreren Fristverlängerungen schließlich Ende März 2023 eine Stellungnahme übersandt.
Dr. Juliane Hundert: »Ob ich der Staatskanzlei den Betrieb einer Facebook-Fanpage untersage, entscheidet die derzeitige datenschutzrechtliche Prüfung. Das Ergebnis liegt voraussichtlich in den kommenden Wochen vor. Unabhängig davon will ich noch einmal deutlich sagen: Es ist nicht die Aufgabe staatlicher Stellen, Facebook-Algorithmen mit Daten von Bürgerinnen und Bürgern zu füttern. Zumal eine Reihe an datenschutzfreundlichen Alternativen bereitstehen. Dazu zählen beispielsweise ein aktueller Internetauftritt, Newsletter oder soziale Netzwerke wie der Kurznachrichtendienst Mastodon.“
 
Zensus, Kommune und Polizei kontrolliert
Die SDTB befasste sich im Berichtszeitraum unter anderem mit dem Zensus 2022 (1.2). Zudem nahm sie nach Abklingen der Pandemie die Querschnittskontrollen bei Kommunen (1.3) wieder auf. „Bei Vor-Ort-Kontrollen habe ich mir die Datenverarbeitung genau angeschaut. Das Ergebnis war erfreulich. Sowohl bei der stichprobenartigen Kontrolle des Zensus als auch bei der überprüften Kommune wurde sorgsam mit den Daten der Bürgerinnen und Bürger umgegangen“, fasst Dr. Juliane Hundert zusammen.

Hingegen variierten die Ergebnisse bei der Kontrolle der Polizei. Im Fokus standen im Berichtszeitraum die besonders eingriffsintensiven Maßnahmen (8.5), wie beispielsweise die längerfristige Observation, Videoüberwachung, die elektronische Aufenthaltsüberwachung oder die Telekommunikationsüberwachung.
Dr. Juliane Hundert resümiert: »Während in vielen Fällen die Vorschriften des Sächsische Polizeivollzugsdienstgesetzes korrekt angewendet wurden, musste ich auch einige, teilweise gravierende Defizite feststellen. Beispielsweise enthielten die Anträge unzureichende Angaben zu Art und Umfang der geplanten Maßnahme. Auch habe ich festgestellt, dass Maßnah¬men für Zeiträume beantragt wurden, welche die gesetzlich normierte Höchstdauer weit überschritten. In mehreren Fällen wurden die betroffenen Personen nach Abschluss der Maßnahme nicht korrekt informiert. Insbesondere fehlten in den Benachrichtigungsschreiben zum Beispiel die Angabe der Rechtsgrundlage der Datenverarbeitung, der Speicherdauer sowie der Rechte der Betroffenen. Weiterhin wurden die erhobenen Daten, die für die polizeiliche Arbeit nicht mehr erforderlich waren, nicht in allen Fällen unverzüglich gelöscht. Die Speicherung von Daten über einen für den konkreten erforderlichen Zweck hinausgehenden Zeitraum ist jedoch rechtswidrig.«

Im Ergebnis der Kontrollen wies die SDTB die betroffenen Polizeistellen auf die festgestellten Fehler hin und forderte sie zur dringenden Beachtung der gesetzlichen Anforderungen auf. Über die Feststellungen informierte Dr. Juliane Hundert auch das Innenministerium als oberste Aufsichtsbehörde und das parlamentarische Kontrollgremium des Landtags. Gemeinsam mit dem Staatsministerium wurde erörtert, wie zukünftig die Beachtung der gesetzlichen Anforderungen und damit die Rechtmäßigkeit der Datenerhebung und -verarbeitung durch die Polizei sichergestellt werden können.
»Ich habe die Erstellung von einheitlichen Prüfschemata und Mustern für die Beantragung, Durchführung und Nachbereitung der Maßnahmen angeregt. Die Beachtung gesetzlicher Vorgaben ist Grundlage rechtsstaatlichen Handelns und dient dem Schutz der Betroffenen und der Gewährleistung ihrer Rechte«, betont die Sächsische Datenschutz- und Transparenzbeauftragte.

Polizeiliche und private Videoüberwachung
In einem anderen Fall schaute sich die SDTB die polizeiliche Videoüberwachung an Straßen im Grenzgebiet im Raum Görlitz an (8.6.). »Den weiteren Ausbau der Videoüberwachung sehe ich sehr kritisch. Vor Ort habe ich deutlich gemacht, dass Videoüberwachung nur dann zulässig ist, wenn es sich um einen Kriminalitätsschwerpunkt handelt oder sie in einem Ermittlungsverfahren angeordnet wurde. Liegen diese Voraussetzungen nicht mehr vor, sind die Anlagen abzuschalten. Das muss dann auch deutlich für die Bürgerinnen und Bürger erkennbar sein. Hierzu bin ich im ständigen Austausch mit der Polizei vor Ort.«

Die rechtlichen Anforderungen an eine Videoüberwachung sind auch im nichtöffentlichen Bereich hoch. Im Berichtszeitraum setzte sich die SDTB unter anderem mit der Videoüberwachung in Spielhallen (2.2.21), im Kleingartenverein (2.2.20) und auf Privatwegen (2.2.22) auseinander. »Wer unzulässig eine Kamera betreibt, für den kann das zu einer kostspieligen Angelegenheit werden. Zum einen sprechen Zivilgerichte Betroffenen auch Schadenersatzansprüche zu. Zum anderen droht ein Bußgeld meiner Behörde«, sagt Dr. Juliane Hundert.

Zahlen und Daten
Unerlaubte Videoüberwachung bildete 2022 erneut den größten Anteil der Ordnungswidrigkeitenverfahren im nichtöffentlichen Bereich (6.4.2). Etwa zwei Drittel der Anzeigen (47) bezogen sich auf die Anfertigung von Videoaufnahmen. Generell waren im Berichtszeitraum 71 neue Ordnungswidrigkeitenanzeigen zu verzeichnen – die Anzahl bewegte sich damit geringfügig unter dem Niveau von 2021. Hingegen gab es im öffentlichen Bereich insgesamt 18 neue Verfahren (6.4.1).

Im Berichtszeitraum gingen 1.068 Beschwerden und Kontrollanregungen bei der SDTB ein. Das Aufkommen lag damit etwas unter dem der Vorjahre (2021: 1.254).
Dr. Juliane Hundert: »Auffällig ist, dass der Rückgang sowohl den öffentlichen als auch den nichtöffentlichen Bereich betraf und auch bei Kolleginnen und Kollegen in den anderen Bundesländern zu verzeichnen war. Etwa zwei Drittel der in meiner Behörde eingehenden Beschwerden betreffen den Bereich der nichtöffentlichen Stellen, also mögliche Verstöße in Unternehmen oder durch Private.«

Ein leichter Rückgang zeigte sich ebenfalls bei den Beratungen. Mit 966 schriftlichen Anfragen registrierte die Behörde etwas weniger Vorgänge als in den ersten beiden Corona-Jahren (2021: über 1.100).

Der Trend bei der Meldung von Datenschutzverletzungen weist seit Jahren nach oben. »Im Berichtszeitraum meldeten Verantwortliche insgesamt 809 Datenpannen. Das waren weniger als 2021 (923), jedoch deutlich mehr als in den Vorjahren. Sollte es tatsächlich zu weniger Vorfällen gekommen sein, wäre dies vor dem Hintergrund der zunehmenden Digitalisierung eine erfreuliche Entwicklung«, erläutert Dr. Juliane Hundert.
Wie in den Jahren zuvor waren die häufigsten Datenpannen der Fehlversand und der Verlust von postalischen Unterlagen, der offene E-Mail-Verteiler, das Abhandenkommen von Datenträgern durch Einbruch oder Diebstahl und das Abgreifen personenbezogener Daten durch Cyberkriminalität (4.4.1).

Großes Themenspektrum auch in 2022
Neben den Vorgängen, die im Zusammenhang mit Datenpannen standen, bearbeitete die SDTB eine Vielzahl an weiteren Datenschutzthemen: Auskunftsrecht (3.2.), Abo-Modelle im Online-Bereich (2.3.6) sowie Websites und Apps (4.1.1; 4.3.1). Außerdem drehte sich im Berichtszeitraum vieles um den Schutz und die Verarbeitung von Gesundheitsdaten, beispielsweise um den Auskunftsanspruch bei Patientenakten (3.2.3) oder die Übermittlung von Gesundheitsdaten an Inkassounternehmen (2.4.1). Auch die ergriffenen Maßnahmen zur Corona-Pandemie waren Anfang des Jahres 2022 noch ein Thema (1.4, 1.5, 2.2.8). Ferner hat die SDTB eine Reihe von Rechtsetzungsvorhaben begleitet (6.2.8).
 
Bezug des Tätigkeitsberichts Datenschutz 2022
Der Bericht der Sächsischen Datenschutz- und Transparenzbeauftragten kann über den zentralen Broschürenversand des Freistaates Sachsen kostenfrei bestellt werden: publikationen.sachsen.de