BrandenburgTätigkeitsbericht zum Datenschutz

Brandenburgs Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht (LDA), Dagmar Hartge, hat ihren Tätigkeitsbericht zum Datenschutz für das Jahr 2023 vorgelegt und berichtet nun über die Kernpunkte in einer Pressemeldung.
Um den Grad der tatsächlichen KI-Nutzung zu ermitteln, hatte die Landebeauftragte demnach Umfragen unter Unternehmen und den kommunalen Spitzenverbänden durchgeführt. Dies ergab, dass in Unternehmen noch keine personenbezogenen Daten mittels KI verarbeitet werden, was für die Zukunft aber nicht ausgeschlossen wird. In den Kommunen gibt es erste KI-Pilotprojekte – etwa zur Verwendung von Chatbots in der Kommunikation mit Bürgerinnen und Bürgern. Das Land Brandenburg diskutiert derzeit eine Landesstrategie zur Künstlichen Intelligenz, hier habe die LDA wesentliche datenschutzrechtliche Aspekte eingebracht.

Unklarheiten um ChatGPT bleiben

Zum Umgang des Unternehmens OpenAI mit personenbezogenen Daten lässt sich laut der LDA noch nichts Abschließendes sagen. OpenAI ist unter anderem Entwickler der generativen KI-Lösung ChatGPT. Im Jahr 2023 hatten die europäischen und deutschen Datenschutzaufsichtsbehörden – auch unter Beteiligung Brandenburgs – das Unternehmen OpenAI aufgefordert, einzelne Fragen zu ChatGPT zu beantworten. Die Auswertung der Antworten sei noch nicht abgeschlossen, es zeige sich aber jetzt schon, dass die Verwendung von Trainingsdaten mit Personenbezug eine datenschutzrechtliche Herausforderung darstellt, so der Bericht aus Brandenburg. Zudem fließen personenbezogene Bewertungen der generierten Texte in die Weiterentwicklung der Systeme ein. Auch stellt sich die Frage, wie transparent die Datenverarbeitung gestaltet ist und wie ChatGPT mit den Daten Minderjähriger umgeht.

Facebook-Fanpages weiter auf dem Prüfstand

Der Streit um die Vereinbarkeit des Betriebs von Facebook-Fanpages durch öffentliche Stellen mit dem Datenschutzrecht ist inzwischen ein Dauerbrenner. In enger Abstimmung mit anderen Aufsichtsbehörden führte die Landesbeauftragte in einem Musterverfahren eine Anhörung der Staatskanzlei des Landes Brandenburg durch. Ziel war eine Unterlassungsverfügung, also die Weisung an die Landesregierung, Facebook-Fanpages abzuschalten. Zwischenzeitlich hatte auch der Europäische Gerichtshof die Argumente der Datenschutzaufsichtsbehörden zusätzlich gestützt: Er sah außerhalb einer wirksamen Einwilligung der Besucher keine ausreichende Rechtsgrundlage für die Verarbeitung personenbezogener Daten beim Betrieb von Fanpages. Zudem erschwerte das Urteil die von Facebook versuchte Umgehung von Datenschutzrechten betroffener Personen. Erst reagierte der Mutterkonzern Meta auf dieses Urteil, indem er neben dem werbefinanzierten Angebot noch ein werbefreies Bezahlabonnement anbot. Zum Jahresende änderte Meta zusätzlich seine Cookie-Richtlinie und informiert seitdem konkret über die Verarbeitung personenbezogener Nutzerdaten beim Einsatz von Cookies auf Fanpages. Da sich die Anhörung maßgeblich auf diesen Aspekt gestützt hatte, entschied die Landesbeauftragte, das Verfahren bis zur Analyse der neuen Richtlinie auszusetzen. Allerdings, so die LDA, sei es derzeit eher unwahrscheinlich, dass aufgrund der Änderungen eine grundlegend andere Beurteilung des Fanpage-Betriebs folgen wird.

Versäumnisse in der Landeshauptstadt Potsdam

Den Angriff auf die IT-Infrastruktur der Landeshauptstadt Potsdam im Dezember 2022 (wir berichteten) nahm die Landesdatenschutzbeauftragte zum Anlass, zu überprüfen, ob die Stadtverwaltung aus dem vorangegangenen Vorfall im Jahr 2020 die richtigen Konsequenzen gezogen hatte. Eine Sichtung der einschlägigen Dokumentationen habe „ein ernüchterndes Ergebnis“ gezeigt. Unter anderem fehlte ein gültiges Datenschutz- und Informationssicherheitskonzept, das geeignete und angemessene technische und organisatorische Maßnahmen dokumentiert, um die Risiken der Verarbeitung personenbezogener Daten für die Betroffenen zu minimieren. Ähnliches gelte auch für das Verzeichnis der Verarbeitungstätigkeiten. Zeitpläne und Fristen, welche die Stadtverwaltung sich selbst gesetzt hatte, um die LDA über den Fortschritt der Erstellung dieser Dokumentationen zu informieren, hielt sie nicht ein; auch die Verantwortlichkeiten innerhalb der Behörde seien ungeklärt. Gesetzlich geforderte Unterlagen wurden nicht vorgelegt. Die Landesbeauftragte hat mittlerweile eine Verwarnung ausgesprochen, bleibt mit der Stadtverwaltung aber im Austausch, bis die erforderlichen Nachweise vollständig vorliegen.
Weitere Gegenstände des Berichts sind Bußgelder wegen festgestellter datenschutzrechtlicher Verstöße, unbefugte Datenabfragen in Krankenhäusern sowie Datenschutzbeschwerden – oft wegen Videoüberwachung – deren Zahl sich auf hohem Niveau stabilisiert habe.