@marcel @andy @noybeu @maxschrems
"Schadenersatz von € 500 für die meisten Meta-Nutzer:innen realistisch."
Wäre es somit möglich, seinen eigenen Ansprüche als Spende, an noby abzutreten?
https://noyb.eu/de/austrian-supreme-court-meta-must-give-users-full-access-their-data
RE: https://piaille.fr/@siltaer/115745236933854663
200 000€ de frais de justice et une compensation de 500€ 🎉
Comme le dit Max Schrems :
> The reality of GDPR litigation is that, for an average person, it takes a decade and is ruinous. Big tech companies hide behind jurisdictions like Ireland, bring up 100 reasons why cases should be dismissed, and sabotage procedures at every corner. We must urgently work on making the GDPR enforceable in practice.
„Beim Datenschutz ist Deutschland inzwischen dem Silicon Valley näher als dem Rest der EU“
Die Datenschutzgrundverordnung kann reformiert werden, sagt Max Schrems – aber ganz anders, als die EU es gerade plant. Im Interview erklärt der prominente Datenschützer, warum er keine Hoffnung mehr auf Aufsichtsbehörden setzt und wieso seine Reformvorschläge selbst von Konservativen unterstützt werden.
Max Schrems ist einer der bekanntesten Datenschützer Europas. Noch als Student hatte der junge Jurist den Milliardenkonzern Meta verklagt, später brachte er zwei transatlantische Datenschutzabkommen zu Fall. Inzwischen treibt er gemeinsam mit seiner Nichtregierungsorganisation noyb – kurz für „None of Your Business“ – Datenschutzsünder und Aufsichtsbehörden vor sich her.
Wir trafen den Österreicher zum Interview in einem Wiener Kaffeehaus, um über die Reform des europäischen Datenschutzes zu sprechen. Die bereits länger laufende Debatte hat kürzlich dramatisch an Fahrt aufgenommen, als die EU-Kommission überraschend weitgehende Änderungen an der Datenschutzgrundverordnung (DSGVO) vorschlug. Der sogenannte digitale Omnibus bekommt von Datenschützer:innen viel Kritik.
Dabei bräuchte es tatsächlich eine Reform der Datenschutzgrundverordnung, sagt Max Schrems. Sie müsste nur ganz anders ausfallen als das, was die EU nun plant. Im Interview legt der Jurist uns seine Ideen für eine Reform dar, die kleinere und mittlere Unternehmen entlastet, während sie Datenkonzerne strenger reguliert. Eine breite Einigung sei bei dem Thema möglich, sie müsse nur gesucht werden.
„Die DSGVO liegt jetzt auf dem Tisch“
In der Debatte um eine europäische Datenschutzreform gibt es drei Lager: Die einen sagen, die Datenschutzgrundverordnung an sich sei super und müsse nur besser durchgesetzt werden. Andere sagen, die DSGVO sei das Schlimmste, was der europäischen Wirtschaft je passiert ist, und müsse massiv zurückgebaut werden. Und dann gibt es da noch ein relativ kleines Lager irgendwo dazwischen, das sagt: Reform ja, aber bitte richtig gemacht.
Zu diesem wirklich sehr kleinen Lager gehöre ich. Es gibt ja wenige, die sagen, die DSGVO soll nicht geändert werden, weil sie so perfekt ist. Das Argument basiert eher auf der Angst vor dem, was dann kommt. Denn dann hätten wir wieder den riesigen Lobby-Fight wie vor zehn Jahren bei der Einführung der DSGVO, aber unter ganz anderen Vorzeichen. Die Sorge ist auch völlig berechtigt, wenn wir schauen, was gerade mit dem digitalen Omnibus passiert. Der Damm ist aber leider bereits gebrochen. Nächstes Jahr soll es noch einen Digital-Fitness-Check geben. Das heißt, die DSGVO liegt jetzt auf jeden Fall auf dem Tisch. Und da müssen wir auf sinnvolle Verbesserungen statt auf einen Kahlschlag hinarbeiten.
Also, was tun?
Zuerst müssen wir auf den begrenzten Spielraum hinweisen, den der Artikel 8 zum Schutz personenbezogener Daten in der Europäischen Grundrechtecharta lässt. Dinge wie Zweckbindung, Einwilligung, Auskunftsrecht und weiteres sind dort einzeln aufgelistet. Man kann sie also gar nicht ohne weiteres abschaffen. Der Gesetzgeber kann sie besser oder schlechter ausgestalten und vielleicht bekommen wir ein ausgehöhltes Grundrecht. Aber die DSGVO ist heute schon eine ziemliche Mindestumsetzung. Man kann überlegen, welche administrativen Auflagen wirklich notwendig sind, aber bei den Rechten der Leute gibt es nicht viel „Goldplating“ obendrauf.
Deutschland und der Datenschutz
Wenn es so wenig „Edel-Regulierung“ über das benötigte Maß hinaus gibt, woher kommt dann das Image der DSGVO als dramatische Überregulierung?
Das schlechte Image der DSGVO ist ganz stark ein deutsches Phänomen, im Blick auf den Datenschutz ist Deutschland dem Silicon Valley näher als dem Rest der EU. Ich reise für Vorträge durch ganz Europa und dass man fast mit Tomaten beworfen wird, wenn man „Datenschutz“ sagt, das gibts nur in Deutschland. Findet die französische Wirtschaft die DSGVO besonders toll? Natürlich nicht. Aber einen Weltuntergang sieht sie darin auch nicht. In Deutschland ist der Datenschutz der Blitzableiter dafür geworden, dass man das mit der Digitalisierung nicht schafft. Ein ganz banales Beispiel: In Deutschland hat fast keiner eine eID, in Österreich sind wir viel weiter. Auch in Skandinavien funktioniert Digitalisierung, alles mit DSGVO.
Wie kommt es zu diesem Sonderweg? Datenschutz galt ja mal als deutsche Erfindung.
Ich glaube, das sind mehrere Faktoren. In Deutschland gibt es eine riesige Compliance-Industrie, die immer neue „Probleme“ zum Überleben braucht. Mir hat mal einer der großen Compliance-Anbieter gesagt: „Herr Schrems, Sie müssen verstehen, Compliance-Bedarf gibt es nicht – Compliance-Bedarf wird kreiert.“ Also hält man hunderte Vorträge, wie schlimm das alles ist mit dem Datenschutz, und dann müssen alle armen Unternehmen schnell in die Compliance-Beratung kommen. Mit der DSGVO ist ein riesiger Kropf an sehr schlechter Beratung entstanden – aus dieser Beratung kommt dann auch oft irgendein angebliches „Verbot“, das gar nicht in der DSGVO steht.
Hinzu kommt, dass die DSGVO dank der Cookie-Banner das einzige Digitalgesetz ist, das alle kennen. Mir kommt es so vor, dass sich in Deutschland schlussendlich eine Kultur entwickelt hat, dass man mehr Freude am Problem als an der Lösung hat – dafür eignet sich Datenschutz super. Zusammengenommen hat man damit einen perfekten Sturm im Wasserglas.
Von den Cookie-Bannern sind alle genervt, weil sie keine echte Selbstbestimmung ermöglichen und ständig weggeklickt werden müssen.
Beim Datenschutz ist das Narrativ, mit dem Nutzerinnen jeden Tag zu tun haben, leider komplett den Unternehmen überlassen. Es ist deren Entscheidung, dass sie das Design so scheiße machen, dass man am Ende genervt möglichst auf „Alles akzeptieren“ klickt. Die Industrie nennt das euphemistisch „Consent Optimization“. Aber verantwortlich gemacht wird der europäische Gesetzgeber. Genau wie bei den E-Mails, die damals zum Start der DSGVO alle Unternehmen geschickt haben. Da hieß es immer: „Wegen der DSGVO brauchen wir jetzt ihre Einwilligung“. Ehrlich wäre gewesen: „Wir verarbeiten seit Jahren illegal Ihre Daten ohne Einwilligung, aber jetzt haben wir Panik, deshalb brauchen wir jetzt schnell noch Ihre Einwilligung.“
Mehr Regulierung für Datenkonzerne, weniger für kleine Unternehmen
Wo müsste eine Reform ansetzen?
Das Wichtigste ist, dass wir die mangelnde Differenzierung durch den One-Size-Fits-All-Ansatz wegkriegen. Dass die DSGVO allen Akteuren die gleichen Anforderungen vorschreibt, hatte die Industrie damals in den Verhandlungen zur DSGVO durchgesetzt. Das Lobbying in Brüssel wird von den ganz Großen dominiert und die haben sich gedacht: Mittelschwere Regeln für alle sind besser als einfachere Regeln für kleine Player, aber Hardcore-Regeln für uns. Und dann war natürlich immer das Argument, dass der Bäcker an der Ecke nicht zu sehr leiden darf, weshalb diese einheitlichen Regeln lieber ein niedriges Niveau haben sollten. Am Ende ist es nun so, als gäbe es nur einen Führerschein, und den braucht man als LKW-Fahrer sowie als Fünfjähriger, der gerade Fahrradfahren lernt.
Wie sähe eine abgestufte Variante aus?
Ich denke an ein Drei-Stufen-Modell. Da hätte man härtere Regeln für die paar Unternehmen, deren Geschäft im Kern auf Daten basiert, von den großen Plattformen über Datenhändler bis zur Schufa. Für ein paar Prozent anderer großer Unternehmen, die einfach viele Daten oder sensible Daten haben, würde eine mittlere Variante gelten – so etwa die jetzige DSGVO. Und für 90 Prozent der Wirtschaft, die fast nichts mit Daten machen, außer ihren Betrieb aufrechtzuerhalten, könnte man den Verwaltungsaufwand im Großen und Ganzen abdrehen. Natürlich müssen die Kernregeln beibehalten werden, aber zum Beispiel bei Dokumentationspflicht ginge viel – da steckt auch die meiste sinnlose Arbeit für Unternehmen drin.
Wie würde die Entlastung konkret aussehen?
Wir haben eine Umfrage mit 500 betrieblichen Datenschutzbeauftragten gemacht und sie gefragt, welche Bereiche ihren Unternehmen viel Arbeit machen und welche viel Schutz bringen. Und da hat sich gezeigt, dass man unter anderem auf viele Dokumentationspflichten verzichten könnte. Die sind ohnehin eher als typischer Brüsseler Kompromiss entstanden: Wenn man schon keine strengen Regeln einführt, dann muss man wenigstens viel dokumentieren. Nur bringt das für Unternehmen viel Arbeit und für die Betroffenen keinen einklagbaren Schutz – beide verlieren.
Besser wäre die Einführung einer Beweispflichtumkehr, die gibt es in der DSGVO sogar schon so halb. Unternehmen müssten dann im Streitfall beweisen, dass sie sich an die Vorgaben gehalten haben. Aber wie sie das machen, ist egal. Da bin ich eher libertär: Wie die Unternehmen ihre Compliance intern gestalten, muss der Gesetzgeber nicht regulieren. Wir haben ja auch keine Dokumentationspflicht dafür, dass ich niemanden umbringe.
„Wer die Macht hat, muss die Verantwortung tragen“
Wie könnte man kleinere Unternehmen noch entlasten?
Die DSGVO ist oft sehr abstrakt, was alle ohne Rechtsabteilung überfordert. Da könnten Formblätter und standardisierte Prozesse helfen, um die Komplexität runterzubrechen. Also zum Beispiel ein Standardformular mit den Anforderungen, die man beim Betrieb einer Website erfüllen muss. In Österreich hat es früher Muster- und Standardverordnungen für Dinge gegeben, die jedes KMU macht. Da hat man gesagt: Wenn ihr euch ans Schema F haltet, dann seid ihr auf jeden Fall gesetzeskonform. Das hat kleinen Unternehmen extrem viel Rechtssicherheit gebracht und senkt den Verwaltungsaufwand massiv.
Wenn ich solche Reformideen vorschlage, gibt es übrigens immer eine Gruppe, die gar nichts davon hält: Anwälte und Compliance-Leute, denn die machen mit genau dieser Unsicherheit für Unternehmen sehr viel Geld. Diese Bürokratie wird oft viel mehr zwischen Unternehmen und ihren Beratern produziert als zwischen Betroffenen und Unternehmen.
Auch bei der Compliance zwischen Unternehmen siehst du Vereinfachungspotenzial, wenn zum Beispiel eine Firma Office-Produkte von Microsoft oder Cloud-Dienste von Amazon oder Google nutzt.
Genau, da hat die DSGVO nämlich ein ganz absurdes System, dass nicht Microsoft oder Google oder irgendwelche Cloud-Anbieter direkt unter das Gesetz fallen, sondern du als einzelner Unternehmer einen Vertrag mit ihnen schließt, dass sie sich an das Gesetz halten würden.
Die sogenannten Auftragsdatenverarbeitungsverträge.
In Europa gibt es Millionen dieser Verträge, die alle abgeschlossen, gemanagt und überprüft werden müssen. Der Effekt ist, dass wir zwar eine lokale Schule verklagen können, die illegale Office-Produkte von Microsoft einsetzt, aber Microsoft direkt angreifen können wir nicht. Die Schule hat aber natürlich null Kompetenz, de facto verantwortlich ist eigentlich Microsoft. Selbst Staaten haben aktuell keine Chance, die Verträge zu ändern – sollen aber dafür haften.
Und das ist ein Grundproblem der DSGVO: Schon im römischen Recht sagte man, dass derjenige die Verantwortung tragen soll, der die Macht darüber hat. Bei der DSGVO aber klaffen Macht und Verantwortung auseinander. Was wir bräuchten, wäre eine Datenschutzhaftung der großen Plattformunternehmen, dass sie gesetzeskonforme Produkte anbieten. Das würde extrem viel Druck von den normalen Unternehmen nehmen. Das sind genau die Dinge, wo alle in Europa von ganz konservativer Seite bis zu ganz linker Seite sagen können: Ja, das ergibt Sinn, dass Microsoft und nicht ein KMU dafür haftet. Eine solche Reform könnten wir mit wenig Aufwand umsetzen.
„Eine breite Einigung bei der Reform wäre möglich“
Auf der anderen Seite schlägst du Verschärfungen für Datenkonzerne vor. Wie sähen die aus?
Bei den ganz Großen funktioniert die DSGVO nicht. Da bräuchten wir zusätzliche Instrumente wie eine Gewinnabschöpfung. Die aktuelle Höchststrafe von vier Prozent für Datenschutzverstöße ist weit weniger als das, was Meta & Co. mit der illegalen Datenverarbeitung verdienen. Die sehen das einfach als 4-prozentige Steuer, nicht als Strafe. Die Gewinnabschöpfung bräuchte es schon allein aus Wettbewerbsgründen, damit man nicht mit illegal erwirtschafteten Gewinnen den anderen Wettbewerbern davonläuft.
Was bräuchte es noch?
Extrem wichtig wäre eine Art externe TÜV-Kontrolle. In anderen technisch hochkomplexen Bereichen haben wir Prüfungen an unabhängige Stellen ausgelagert. Wenn zum Beispiel eine Lift-Anlage oder auch nur ein Auto betrieben wird. Im Datenschutz gibt es aktuell praktisch nur interne Prüfungen, wo alles durchgewunken wird, was der Chef will. Theoretisch gibt es die Aufsichtsbehörden, die aber weder die nötige technische Fachkompetenz noch die Kapazitäten für umfangreiche Prüfungen haben. Zunehmend merkt man auch, dass einige Behörden politisch nicht prüfen wollen.
Eigentlich müsste das so laufen wie bei der jährlichen Prüfung von Unternehmensfinanzen, selbst wenn das natürlich auch nicht immer perfekt funktioniert, siehe Wirecard. Aber dann gäbe es immerhin deutlich mehr Druck, etwa wenn man sicherstellt, dass die Zertifizierungsbude ihre Lizenz verliert, wenn sich später rausstellt, dass es bei einem geprüften Unternehmen doch massenhafte Rechtsverletzungen gab. So hätte man genug Druck auf allen Playern, dass sie ihre Arbeit vernünftig machen. Den meisten Menschen in Deutschland dürfte doch wichtiger sein, dass das Scoring-Modell der Schufa regelmäßig vernünftig geprüft wird, als dass deren interne Bilanzen geprüft werden.
Für die Großen müssten auch andere Transparenzpflichten gelten, die müssten viel detaillierter offenlegen, was sie mit unseren Daten machen.
Was du hier gerade skizziert hast, kursiert in der Datenschutzszene seit einiger Zeit manchmal als „Schrems-Voss-Vorschlag“. Der CDU-Digitalpolitiker Axel Vosshatte nämlich etwas in dieser Richtung auf LinkedIn gepostet. Habt ihr das zusammen ausgearbeitet?
Das sind alles Dinge, die ich schon seit zehn Jahren vorschlage, da ist eigentlich nichts Neues dran. Es gab neulich eine Diskussionsveranstaltung mit Axel Voss. Eigentlich stehen wir uns politisch eher nicht nahe, aber er hat bei diesen Punkten vieles ähnlich gesehen. Das freut mich natürlich, weil ich finde, dass das die Eleganz dieser Vorschläge gerade in Zeiten polarisierter Politik ist, dass sie eben soweit logisch und sinnvoll sind, dass sie auch von Konservativen geteilt werden. Es gibt sicher zehn oder zwanzig Prozent im Datenschutz, da kommen wir nicht zusammen. Aber konzentrieren wir uns doch erst mal auf die achtzig Prozent, bei denen eine schnelle und breite Einigung möglich ist. Über den Rest können für uns dann noch immer streiten.
„Mit KI wird zum ersten Mal Realität, wovor der Datenschutz uns schützen sollte“
Jetzt sieht die Realität ganz anders aus: Mit dem sogenannten „digitalen Omnibus“ will die EU-Kommission Teile der DSGVO in großer Eile und ohne Konsens-Suche ändern. Ihr bei noyb kritisiert die Pläne hart.
Viele Teile des digitalen Omnibusses wurde offenbar von Leuten geschrieben, die keine Ahnung von der DSGVO oder Praxis haben. Wir sehen hier wirklich einen teilweisen Zusammenbruch der Fachbeamtenschaft in Brüssel. Der Vorschlag erfüllt nicht mal den Zweck, für den er gemacht wurde, nämlich die Wirtschaft zu fördern. Die Logik der meisten Lobbyisten in Brüssel ist: Je schwammiger das Gesetz, desto besser für die Unternehmen. Für den Großteil der Wirtschaft wird das aber nichts bringen.
Unsere Umfragen unter betrieblichen Datenschutzbeauftragten zeigen, dass Unsicherheit genau das ist, was sie nicht brauchen. Sie brauchen klare Regeln. Von Schwammigkeit profitieren nur große Konzerne mit starken Rechtsabteilungen. Aber für die europäische Wirtschaft, die hauptsächlich aus Mittelständlern und kleinen Unternehmen besteht, ist das Gift. Das gilt auch für die vorgeschlagenen Regelungen zu KI und Datenschutz.
Die EU-Kommission will klarstellen, dass KI-Systeme mit personenbezogenen Daten trainiert und betrieben werden dürfen, ohne dass die Betroffenen eingewilligt haben. Rechtsgrundlage wäre dann das „berechtigte Interesse“, Nutzer:innen hätten die Möglichkeit zum Opt-Out.
Dabei bleiben aber die Anforderungen der DSGVO an die Interessenabwägung im Einzelfall bestehen – man weiß also weiterhin nicht, was jetzt legal ist und was nicht. Wenn man den kleinen und europäischen Unternehmen wirklich helfen will, dann würde man eine klare, neue Regelung einführen: Diese zehn Punkte müssen erfüllt werden, wenn man mit Kundendaten KI trainieren will. Wenn man die Anforderungen erfüllt, ist es legal – und wenn nicht, dann nicht.
Wie sähe das konkret aus?
Es bräuchte zum Beispiel Datenreinigung nach dem Stand der Technik. Es bräuchte Löschkonzepte. Es bräuchte eine Verpflichtung, das System zu re-trainieren, wenn es trotz Datenreinigung im Ausnahmefall problematische Daten ausspuckt, so wie neulich, als ein Chatbot eine Person als Mörder diffamiert hat. Das wäre wahrscheinlich machbar, wenn auch mit hohen Hürden. Aber wir haben mit KI zum ersten Mal eine Situation, in der Realität wird, wovor uns der Datenschutz ursprünglich schützen sollte.
Das musst du erklären. Inwiefern?
Die Grundprinzipien der DSGVO stammen aus den 70er- und 80er-Jahren. Damals gab es die Sorge, dass es irgendwann ein technisches System geben könnte, das viele Daten aufsaugt, darauf basierend Entscheidungen über uns trifft und niemand kann nachvollziehen, warum. Genau das macht KI. Um uns vor so etwas zu schützen, wurden damals Datenschutzrechte wie die Zweckbindung, Transparenz, Datenrichtigkeit oder Datenminimierung etabliert.
Daten, die man zu einem Zweck hergegeben hat, sollen nicht einfach für etwas anderes verwendet werden. Wenn am Ende etwas Falsches rauskommt, hat man ein Recht auf Berichtigung. Und man hat ein Auskunftsrecht, um herauszufinden, welche Daten eingeflossen sind. All diese Rechte ergeben bei KI-Systemen jetzt das erste Mal so richtig Sinn. Und genau jetzt sollen sie abgeräumt werden, weil sie KI im Weg stehen?! Das ist so, als hätten wir Geschwindigkeitsbegrenzungen festgelegt, als wir noch Pferdekutschen hatten, und jetzt, wo der Porsche da ist, schaffen wir sie einfach ab – weil sie der „Innovation“ im Weg stehen.
„Wir haben nahezu einen Totalausfall der Datenschutzbehörden“
Du sieht auch bei Rechtsdurchsetzung des Datenschutzes Reformbedarf. Wo liegt hier das Problem?
Eines der Probleme ist der nahezu Totalausfall der Datenschutzbehörden. Es gibt natürlich Ausnahmen, aber den meisten fehlt der politische Wille, es fehlen die budgetären Mittel oder das kompetente Personal. Die Leitungsposten der Behörden werden immer öfter nicht unabhängig, sondern politisch besetzt. Eine zweite Amtszeit gibt es nur bei einem wirtschaftsfreundlichen Kurs. Das führt dazu, dass es in Europa nicht mal bei 1,3 Prozent der DSGVO-Beschwerden überhaupt zu einem Bußgeld kommt. Inzwischen herrscht eine Logik des Rechtsbruches vor. In der juristischen Bubble interessiert die DSGVO keine Sau mehr, weil der Anwalt, der dich berät, mehr kostet als die potenzielle Strafe.
Die Gerichte sind auch ein Problem. Viele Richter bekommen erst mal Panik, wenn sie von Computern und DSGVO hören, denn das hatten sie nie an der Uni. Dann lesen sie die Zeitung und haben alle das Gefühl, dass die böse DSGVO viel zu hart für Unternehmen ist. Das führt dazu, dass man viele DSGVO-Verfahren verliert, nicht aus rechtlichen, sondern aus emotionalen Gründen. Immer wieder streichen Gerichte auch die Entscheidungen der Behörden und deren Bußgelder zusammen.
Den Unternehmen kommt zugute, dass Gerichtsverfahren in den meisten EU-Ländern teuer sind. Wenn die Aufsicht wegen einer Entscheidung vor Gericht gezerrt wird, dann fast ausschließlich von Unternehmen und fast nie von Betroffenen. Das hat einen Chilling-Effekt auf die Aufsichtsbehörden: Vor Bürgern brauchen sie sich nicht fürchten, vor Unternehmen schon. Ergo: Lieber mal nichts tun.
Hast du zum Schluss noch einen Lichtblick, was dir im Datenschutz gerade Hoffnung macht?
Erstens die Grundrechtecharta. Datenschutz ist in der EU ein Grundrecht und der Kernbereich kann nicht abgeschafft werden, sofern nicht plötzlich alle EU-Mitgliedstaaten einstimmig die Charta ändern.
Zweitens die Möglichkeit eines zivilrechtlichen Vorgehens bei Datenschutzverstößen und die neuen EU-Sammelklagen. Wir sind damit irgendwann nicht mehr auf die Datenschutzbehörden angewiesen. Ich finde das politisch nicht schön, hier auch mit Sammelklagen anzufangen. Lieber wäre mir, wenn alles von vorneherein rechtskonform ist und die Aufsichtsbehörden das auch sicherstellen, statt dass man im Nachhinein bei Problemen auf Schadenersatz klagt. Aber das ist leider eine Sprache, die auch die großen US-Konzerne verstehen. Selbst bei kleinen Schadensersatzsummen von wenigen hundert Euro kommt man bei Millionen Betroffenen schnell auf interessante Summen.
Wir haben das mit noyb in Österreich auch schon mal getestet, da haben uns viele gesagt: Ich will das Geld gar nicht, ich will nur, dass man mal was gegen die Konzerne macht. Das war also ein sehr anderes Bild als das der geldgierigen Kläger, das manche zeichnen. Das hat mich sehr ermutigt.
Vielen Dank für deine Arbeit und das Gespräch.
Ingo Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Er schreibt häufig über Datenmissbrauch und Datenschutz, Big Tech, Plattformregulierung, Transparenz, Lobbyismus, Online-Werbung, Wahlkämpfe und die Polizei. 2024 wurde er mit dem Alternativen Medienpreis und dem Grimme-Online-Award ausgezeichnet. Ingo ist Mitglied des Vereins Digitale Gesellschaft sowie der Evangelischen Kirche. Seit 02/2025 ist sein Buch erhältlich: “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen”. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.
RE: https://chaos.social/@kattascha/115734513062891665
Ich find dieses Zitat ja deutlich treffender: "In Deutschland ist der #Datenschutz der Blitzableiter dafür geworden, dass man das mit der #Digitalisierung nicht schafft."
TikTok monitored Grindr activity through third-party tracker, privacy group alleges
Automatisierte Gesichtserkennung - der feuchte Traum jedes Überwachungsstaatlers. Liebe Leute: Mit diesem Gesetzentwurf hätte Niedersachsen nicht das „modernste“, sondern das potentiell repressivste Polizeigesetz aller Zeiten. Aber was weiß ich schon, wo ich mich doch gerade mal 30 Jahre mit dem #Datenschutz beschäftige. 🤓
https://regionalheute.de/neues-polizeigesetz-gesichtserkennung-mit-ki-geplant-1765774803/
@heiseonline Wen das heute noch überrascht, der hat die letzten 7 Jahre irgendwo in einem Erdloch verbracht. Und wer in dieser Zeit sich lieber eingeredet hat, dass die eigenen Daten bei MS und Co. trotz der Rechtslage sicher seien, weil das in Dokument X oder Y von MS und Co. steht, der dürfte auch mit dieser Meldung nicht eines besseren belehrt werden.
@yatil Guess the #a11y movement needs some "agressive" NGO like #noyb does for privacy? Because a law on paper is (never?) enough? https://noyb.eu/de
Der deutsche #Versandhandel kommt gegen Amazons Dominanz nicht an? Ein für Kunden mitunter entscheidender Makel ist aber eigentlich leicht zu beheben: der Mangel an #Respekt für den Kunden. Will ich #Amazon vermeiden & lieber bei kleinen Anbietern bestellen, dann ist eine Flut an unerwünschten Newsletter-Abos absehbar. Abbestellen kann man sie oft auch nicht, weil IT-Sachverstand im Unternehmen fehlt, was Schlimmes auch für die anderen Kundendaten vermuten lässt. Dann eben doch Amazon. #noyb
Digital Omnibus – Ecco una prima analisi giuridica del suo impatto regolatorio, a cura dei legali di NOYB
Questa settimana è uscito il “Digital Omnibus”. noyb sta attualmente lavorando a un’analisi scritta approfondita che speriamo di pubblicare nei prossimi giorni. In anteprima, abbiamo riunito in un video i membri del team che hanno lavorato sui vari aspetti della proposta Omnibus della Commissione Europea, per approfondire argomenti selezionati (la nuova definizione di dati personali, la nuova esenzione per la ricerca, le limitazioni alle norme sulla trasparenza e le nuove regole sull’accesso alle apparecchiature terminali).
noyb (None of Your Business), l’organizzazione che si batte per il rispetto della protezione dei dati personali, già resa illustre dalle numerose sentenze che le hanno dato ragione, solleva un forte allarme riguardo al Digital Omnibus, descrivendolo come un potenziale “più grande rollback dei diritti fondamentali digitali nella storia dell’UE”. A tal fine ha presentato un video estremamente interessante che riunisce i membri del team che hanno lavorato sui vari aspetti della proposta Omnibus della Commissione Europea, per approfondire argomenti selezionati (la nuova definizione di dati personali, la nuova esenzione per la ricerca, le limitazioni alle norme sulla trasparenza e le nuove regole sull’accesso alle apparecchiature terminali).
Questo post verrà ripubblicato nella comunità Lemmy @privacypride@feddit.it
Questo è il video pubblicato sul sito di NOYB, mentre di seguito pubblicheremo un riassunto dei diversi temi sollevati
Le principali Preoccupazioni rispetto ai Contenuti del “Digital Omnibus”
Le modifiche proposte indebolirebbero significativamente le tutele previste dal GDPR:
1. Ridefinizione del “Dato Personale”
La modifica proposta andrebbe a ridefinire la nozione stessa di “dato personale” in modo da escludere dalla protezione del GDPR interi settori o tipi di dati. Se i dati utilizzati per il tracciamento online o per l’ecosistema della pubblicità programmatica (che si basa su ID univoci e pseudonimi) venissero esclusi dall’ambito del GDPR, intere industrie di data broker potrebbero operare fuori dalle attuali regole di protezione dei dati.
2. Deroghe e Favoritismi per l’Intelligenza Artificiale (AI)
Verrebbe proposta l’introduzione di disposizioni che favoriscono l’utilizzo dei dati per l’addestramento e l’operatività dei sistemi di Intelligenza Artificiale (IA).
Invece di applicare le stesse regole a tutte le tecnologie. Ampliando, ad esempio, la nozione di “interesse legittimo” per le finalità di addestramento dei sistemi di AI, si creerebbe un regime di favore per l’AI, in una sorta di “Neutralità Tecnologica Inversa”.
Le proposte consentiranno, o almeno qusto è il timore di NOYB una forma di auto-classificazione o auto-declassificazione dei sistemi di AI, eliminando trasparenza e accountability (responsabilità).
3. Indebolimento del Consenso e del Tracciamento
La modifica proposta potrebbe spostare l’Europa da un sistema di opt-in (dove il consenso è richiesto prima di tracciare) a qualcosa di più vicino a un opt-out (dove l’utente deve attivamente rifiutare per fermare il tracciamento). Questo ridurrebbe la sovranità decisionale dell’utente sui propri dati, rendendo molto più difficile per i cittadini europei bloccare il tracciamento online.
4. Limitazioni sui Diritti degli Interessati e sulla Compliance
Con le modifiche proposte si determinerebbe una potenziale introduzione di una nuova soglia per la segnalazione di violazioni dei dati personali e possibili deroghe ai diritti degli interessati (come il diritto di accesso o opposizione). Limitazioni come queste indebolirebbero le protezioni fondamentali per le persone e rappresenterebbero una sfida significativa per i professionisti della protezione dei dati (come i DPO), che dovrebbero aggiornare in modo massivo policy e procedure.
5. Integrazione con l’EU Business Wallet
La previsione di un’integrazione del Digital Omnibus con il futuro lancio dell’EU Business Wallet, modellato sull’EU Digital Identity Wallet per i cittadini, con l’applicazione di nuovi principi e tempistiche “irrealistiche” solleva dubbi sulla fattibilità e sulla sicurezza, soprattutto per i professionisti della cybersecurity, a causa dell’impatto sulla superficie di attacco dei dispositivi personali.
Il Contesto: Competitività vs. Tutela
Il Digital Omnibus è presentato dalla Commissione come uno sforzo per armonizzare e semplificare le attuali regole digitali dell’UE, con l’obiettivo dichiarato di migliorare la competitività delle imprese europee nell’era digitale e dell’AI. Tuttavia le analisi di NOYB mostrano come questo tentativo di semplificazione e impulso all’innovazione venga fatto a costo di compromettere le protezioni fondamentali stabilite dal GDPR, in particolare a causa di due fattori:
Azioni Suggerite dai legali di NOYB
Per le aziende e i professionisti della compliance (DPO e addetti ai lavori), l’analisi suggerisce una preparazione proattiva in vista di questi probabili stravolgimenti normativi:
La conclusione è quindi drammatica; le modifiche del Digital Omnibus rappresentano una minaccia diretta ai principi cardine del GDPR e alla protezione dei dati dei cittadini europei.
Ringraziamo @noybeu per il video pubblicato che fa capire bene lo sforzo dei legali dell’organizzazione per la valutazione degli impatti normativi! E ricordate che è possibile sostenere economicamente il loro impegno per un’Europa più rispettosa della privacy dei propri cittadini
Qui potete trovare il link alla pagina del blog di NOYB: https://noyb.eu/en/digital-omnibus-first-legal-analysis
Segui il canale di InformaPirataVuoi segnalare un errore o dare un suggerimento? Scrivici su Friendica, Twitter, Mastodon o sul gruppo telegram Comunicazione Pirata
@lowtech @JulianOliver the #EU is currently changing their policies regarding #cookies in a way that "leads the changes in a right direction, but the wording is extremely permissive and would also allow excessive ‘searches’ of user devices for (minor) security purposes.'"(#noyb)
Also media service providers will be more or less excluded from everything.
Wiener Forschende knacken 3,5 Mrd. #WhatsApp-Konten - oe3.ORF.at https://oe3.orf.at/stories/3050911/
#Datenleck #Datenschutz #noyb
Max Schrems: "Der Digital Omnibus würde vor allem den großen Technologieunternehmen zugute kommen, während er den durchschnittlichen Unternehmen in der EU keine greifbaren Vorteile bringt. Die vorgeschlagene Reform ist ein Zeichen von Panik und kein Zeichen von Führungsstärke, wenn es um die Gestaltung der digitalen Zukunft Europas geht. Was wir wirklich brauchen, ist ein strategischer, gut durchdachter langfristiger Plan, um Europa voranzubringen - keine planlosen Löcher in Gesetzen."
https://noyb.eu/de/digital-omnibus-eu-commission-wants-wreck-core-gdpr-principles
„ #Trumpsche #Gesetzgebungspraktiken“: Max #Schrems kritisiert #Grundrechte- #Kahlschlag
Die #Europäische_Kommission plant offenbar eine #DSGVO-Reform mit der #Abrissbirne. Der #Datenschutzexperte #MaxSchrems und die #Organisation #noyb lassen kein gutes Haar an dem Vorschlag, den wir veröffentlichten. Die Pläne würden „40 Jahre #europäische #Grundrechtsdoktrin über den Haufen“ werfen.
Die österreichische Datenschutzbehörde (DSB) hat in einer Entscheidung festgestellt, dass Microsoft 365 Education Schüler illegal trackt und Daten von Schüler:innen auch für eigene Zwecke verwendet. Der Software-Riese hat auch das Recht auf Auskunft bei Microsoft 365 Education ignoriert. Stattdessen versuchte Microsoft, ihre Pflichten unter der DSGVO auf lokale Schulen abzuwälzen. Zwar verpflichtet die DSB auch die betroffene Schule zusätzliche Informationen bereitstellen, das wird jedoch nur mit der Hilfe von Microsoft machbar sein.
#noyb win: Microsoft 365 Education may not track school children
https://noyb.eu/en/noyb-win-microsoft-365-education-tracks-school-children
#noybeu #microsoft #m365 #schools
