SachsenDatenschutzbericht 2021 vorgelegt

Die Landesbeauftragte für den Datenschutz in Sachsen, Juliane Hunderte, hat ihren Tätigkeitsbericht für das Jahr 2021 vorgestellt. Der Bericht basiere im Wesentlichen noch auf dem Wirken der Datenschutzbehörde unter ihrem Amtsvorgänger Andreas Schurig, heißt es aus der Sächsischen Staatskanzlei. Schurigs Dienstzeit endete am 31. Dezember 2021. Der Bericht fasst die Schwerpunkte der Aufsichtstätigkeit, Statistiken, Hinweise zur Auslegung der Datenschutz-Grundverordnung, zur Sanktionspraxis und Datenschutz-Rechtsprechung zusammen. Außerdem enthält er eine Übersicht zu den veröffentlichten Dokumenten der Datenschutzkonferenz und des Europäischen Datenschutzausschusses.

Erfasste Corona-Daten fachgerecht löschen

Der Berichtszeitraum umfasst das zweite Pandemiejahr. Zahlreiche Vorgänge standen im Zusammenhang mit Corona-Schutzmaßnahmen. Die Fragestellungen bewegten sich regelmäßig im Spannungsfeld zwischen einem wirksamen Infektionsschutz und den nach Datenschutzrecht zulässigen Eingriffen in die Persönlichkeitsrechte der Bürgerinnen und Bürger.
In Bezug auf die aktuelle Situation betont Juliane Hunderte, dass Unternehmen und Behörden nun verpflichtet seien, noch vorhandene Corona-Datenbestände zu überprüfen und nicht mehr erforderliche Daten zu löschen. Für die Kontaktnachverfolgung, wie sie beispielsweise in Restaurants oder Behörden üblich war, gebe es inzwischen keine gesetzliche Grundlage mehr. Auch Zutrittskontrollen zum Arbeitsplatz entfielen – Arbeitgeber dürfen den Impf-, Genesenen- und Teststatus von Beschäftigten grundsätzlich nicht mehr abfragen. Nur in Einrichtungen und Unternehmen des Gesundheitswesens seien nach wie vor bestimmte Datenverarbeitungen erforderlich und damit rechtskonform, etwa hinsichtlich der einrichtungsbezogenen Impfpflicht. Bei den zu löschenden Informationen und Unterlagen handelt es sich oftmals um besonders schützenswerte Gesundheitsdaten, betonte Hunderte. Solche Dokumente müssten fachgerecht nach DIN 66399 vernichtet werden.

Zahlreiche Beratungen und Beschwerden

Die Beratung in Datenschutzfragen zählte 2021 weiterhin zu den Hauptaufgaben. Mehr als 1.100 Vorgänge entfielen auf diesen Bereich – ein Plus von über neun Prozent gegenüber dem Vorjahr. Das waren fast so viele Fälle wie im Jahr 2018, als die Datenschutz-Grundverordnung wirksam wurde. Zu den Beratungsvorgängen zählte unter anderem ein wissenschaftliches Projekt, bei dem eine Forschungseinrichtung mithilfe von Videobeobachtung Fahrverhalten von E-Scootern untersuchte. Dieses Beispiel zeige, dass es möglich ist, Forschungsdaten so zu verarbeiten, dass die Persönlichkeitsrechte der Bürger bestmöglich geschützt werden, so die Sächsische Datenschutzbeauftragte.
Auch das Aufkommen bei Beschwerden und Hinweisen zu Datenschutzverstößen lag mit 1.254 auf einem hohen Niveau – wie bereits im Vorjahr. Ein Teil davon betraf die so genannten Telemedien wie Websites und Apps. Betreiber von Websites und Apps sollten die Verwendung von Cookies und anderen Technologien dringend überprüfen, rät Hunderte. Hier liege noch viel Aufklärungsarbeit vor ihrer Behörde. Im Tätigkeitsbericht finden Verantwortliche auch ein vereinfachtes Prüfschema, mit dem sich häufige Datenschutzschwachstellen bei Websites und Apps ermitteln lassen.

Risiko für Datenpannen steigt

Nach Artikel 33 der Datenschutz-Grundverordnung sind Verantwortliche verpflichtet, im Falle der Verletzung des Schutzes personenbezogener Daten unverzüglich – möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung – diese der Aufsichtsbehörde zu melden. Im Berichtszeitraum sind 923 Meldungen von Datenschutzverletzungen in der sächsischen Datenschutzbehörde eingegangen. Im Vergleich zum Vorjahr entspricht das einer Steigerung um rund 45 Prozent. Dies gehe mit der fortschreitenden Digitalisierung einher, erläutert die Sächsische Datenschutzbeauftragte. Rund ein Drittel der Meldungen von Datenschutzverletzungen seien auf Cyber-Kriminalität zurückzuführen. Zu den besonderen Vorfällen zählten Anfang 2021 die Sicherheitslücken in Microsoft Exchange-Servern. Weitere Fallgruppen, die im Berichtszeitraum besonders häufig auftraten, waren etwa offene E-Mail-Verteiler, Verlust auf dem Postweg, Verlust von Datenträgern sowie Datenschutzverletzungen durch Auftragsverarbeiter.
Neben den Vorgängen, die im Zusammenhang mit der Pandemie standen, bearbeitete die Behörde auch eine große Vielfalt an weiteren Datenschutzthemen, darunter Videoüberwachung durch Privatleute, Internet-Veröffentlichungen von Wettkampfergebnissen im Jugendgolfsport und die biometrische Zutrittskontrolle in einer Freizeiteinrichtung.