zurück zum Artikel

Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung. Sie hat hiesige Grundsätze wie Datenminimierung bekannt gemacht und entzweit bis heute die Gemüter.

In wenigen Tagen, am 25. Mai 2023, ist die Datenschutz-Grundverordnung (DSGVO [1]) seit genau fünf Jahren in Kraft. Das Normenwerk mit 99 Artikeln und 173 erläuternden Erwägungsgründen polarisiert bis heute: Für die einen ist es ein Ausbund an Bürokratie, die aufgrund der enthaltenen Einwilligungsklausel im nervtötenden Abklicken von Cookie-Bannern gipfelt. Andere sehen in der Verordnung, deren Beschluss von einem heftigen Lobby-Streit begleitet war, einen weltweiten Goldstandard beim Absichern der Privatsphäre der Bürger.

Anwaltskampagnen statt Abmahnwellen

Webseitenbetreiber denken angesichts der fünf Buchstaben an die viele Zeit, die sie aufwenden mussten, um eine mehr oder weniger konforme Datenschutzerklärung mit dem Aufzählen etwa von Auskunftsrechten zu fabrizieren, von denen vermutlich bei kleineren Online-Projekten nie jemand Gebrauch machen wird. Lang ist das Kabinett der Kuriositäten [2], das mit der DSGVO in Verbindung gebracht wird. Etwa gecancelte Livestreams oder die unvermeidlichen Hinweise auf Veranstaltungen, dass dort fotografiert wird. Reißerische Berichte, dass Klingelschilder mit Namen nicht mehr erlaubt und persönliche Daten von Visitenkarten nicht ohne Weiteres verwendet werden dürften, wiesen die Aufsichtsbehörden rasch als Unfug zurück [3].

Die anfangs vielfach befürchteten Abmahnwellen [4] sind größtenteils ausgeblieben. Ausnahme sind vor allem die Anwaltskampagnen aufgrund des unbedarften Einsatzes von Google-Fonts auf Webseite [5]n, durch die personenbezogene Daten von Besuchern in die USA übertragen werden können. Doch mittlerweile ermittelt etwa die österreichische Wirtschafts- und Korruptionsstaatsanwaltschaft gegen Rädelsführer [6]. Auch in Deutschland wurden im Dezember Durchsuchungs- und Arrestbeschlüsse gegen einen Berliner Anwalt und einen Mandanten vollstreckt [7]. Ein selbsterkorener Bürgerrechtsverein pickte sich zudem eine Zeit lang Unternehmen raus, die ein Kontaktformular ohne SSL-Verschlüsselung auf ihrem Online-Auftritt hatten.

Künstliche Intelligenz im Visier der Datenschützer

"Die gezielte Panikmache nach dem Beschluss der Datenschutz-Grundverordnung hat sich gelegt", erklärt die EU-Abgeordnete Birgit Sippel, die am Dienstag auf einem Panel bei einer Veranstaltung zum 5. Jahrestag von Datenschutzbeauftragten in Brüssel [8] sitzen wird, gegenüber heise online. "Viele Firmen haben ihre Regeln angepasst." Einige versuchten aber weiterhin, die DSGVO zu umgehen.

Zumindest in mehreren Mitgliedstaaten seien die unabhängigen Datenschutzbehörden besser ausgestattet worden, um Kontroll- und Unterstützungsfunktion angemessen ausüben können, sagt Sippel. Diese Entwicklung müsse angesichts zunehmender Digitalisierung und der Verbreitung von Systemen für Künstliche Intelligenz (KI) unbedingt weiter gehen. Doch problematisch wird es laut der Koordinatorin der Sozialdemokraten im Ausschuss für bürgerliche Freiheiten, Inneres und Justiz des EU-Parlaments, wenn in verschiedenen Gesetzen unterschiedliche Kontrollbehörden benannt werden. So hat die Legislative etwa mit dem Digital Services Act (DSA) neue Aufsichtsgremien eingeführt [9].

Interesse am Schutz der Bürger in der EU schwindet

"Ebenso wichtig ist, dass Datenschutz und damit der Schutz von Grundrechten nicht zunehmend wirtschaftlichen Interessen geopfert werden darf", betont Sippel. Die SPD-Politikerin denkt dabei etwa an einen Wandel von einer "Rechte-basierten Herangehensweise" zu einer Gesetzgebung, die nur noch auf einzelne Risiken abstellt. Besorgniserregend sei auch die Manipulation von Nutzern durch Designtricks wie "Dark Patterns" [10], um ihnen ihre vielfach nötige freiwillige und informierte Einwilligung abzunehmen.

Leider schwindet laut Sippel das Interesse am Schutz der Bürger beim EU-Ministerrat und der Kommission in Brüssel stetig. Das zeige sich auch darin, dass die EU-Staaten von den digitalen Dossiers ausgerechnet die geplante E-Privacy-Verordnung zum Schutz der Vertraulichkeit der elektronischen Kommunikation blockierten. Sie arbeite unermüdlich daran, die Regeln doch noch Wirklichkeit werden zu lassen, ließ die Verhandlungsführerin im März wissen [11]. Das Gleiche könne sie über die schwedische Ratspräsidentschaft nicht sagen. Auch die Kommission müsse hier ihre Rolle als Hüterin der Verträge stärker ausfüllen. Die Leistung, dass die EU Datenschutz mit der DSGVO in vielen Ländern neu auf die Agenda gesetzt habe, sollte sie selbstbewusst verteidigen.

"Missing Link"

Was fehlt: In der rapiden Technikwelt häufig die Zeit, die vielen News und Hintergründe neu zu sortieren. Am Wochenende wollen wir sie uns nehmen, die Seitenwege abseits des Aktuellen verfolgen, andere Blickwinkel probieren und Zwischentöne hörbar machen.

• Mehr zum Feuilleton "Missing Link" [12]

Die DSGVO – ein Papiertiger?

Auch Sippels Kollege von der Piratenpartei, Patrick Breyer, erinnert daran, dass die E-Privacy-Vorschriften etwa mit Ansätzen gegen Nutzer-Tracking ursprünglich bereits im Mai 2018 parallel zur DSGVO in Kraft treten sollten. Sie würden das Basisgesetz in Bereichen wie der Smartphone-Nutzung und Online-Diensten ergänzen. Die Verzögerungstaktik der Regierungen und das Tauziehen mit der Wirtschaft etwa aufgrund deren Werbeinteressen hinter den Kulissen sei hier unverantwortlich: Der "gläserne Kunde" und der "Überwachungskapitalismus" im Netz gehörten als Irrweg der Geschichte abgeschafft.

Sinnvoll findet Breyer an der DSGVO vor allem die Pflicht, Systeme von Anfang an datenschutzfreundlich anhand der Prinzipien Privacy by Design [13] und by Default zu entwickeln. Denn nur, wenn von vornherein möglichst wenig Daten erhoben, gespeichert und geteilt werden, sei die Privatsphäre sicher. Dieser Schutz dürfe aber nicht nur auf dem Papier bestehen, sondern müsse auch durchgesetzt werden. Die Piraten mahnten daher schon seit Jahren eine bessere Ausstattung der Datenschutzbeauftragten an, gerade auch in Deutschland. Hier fehle es der Bundesdatenschutzbehörde bis heute auch an Durchsetzungsbefugnissen gegenüber Telekommunikationsanbietern, weswegen er Beschwerde bei der Kommission eingereicht habe.

Die irische Datenschutzbehörde als Flaschenhals

Als großer Schwachpunkt der DSGVO galt lange ihre mangelhafte Durchsetzung und die irische Datenschutzbehörde als Flaschenhals [14] dabei. Die Data Protection Commission (DPC) in Dublin ist die federführende Aufsichtsinstanz für Big-Tech-Konzerne wie Google, Meta mit Facebook und Instagram, Microsoft, Apple und Twitter, die ihren europäischen Hauptsitz in Irland haben. Andere Kontrolleure in der EU können dann nicht direkt eingreifen. Im Europäischen Datenschutzausschuss (EDSA), dem gemeinsamen Gremium der Aufsichtsbehörden, kommt es über Entscheidungsvorlagen der DPC oft zum Streit. Das löst momentan ein kompliziertes und langes Verständigungsverfahren aus, in dem die irische Behörde meist überstimmt wird.

Die Kommission ließ nach langem Zaudern im Februar durchblicken, die DSGVO einfacher durchsetzbar machen zu wollen [15]. Sie hat dazu eine Gesetzesinitiative noch fürs zweite Quartal in Aussicht gestellt, um die Zusammenarbeit zwischen den nationalen Aufsichtsbehörden in grenzüberschreitenden Fällen zu vereinfachen. Dazu sollen "einige Aspekte" des einschlägigen Verwaltungsverfahrens "harmonisiert" werden. Zuvor hatte der Irish Council for Civil Liberties (ICCL) eine formelle Beschwerde gegen die Brüsseler Exekutivinstanz bei der Europäischen Bürgerbeauftragten Emily O’Reilly eingereicht [16]. Der Vorwurf: die Kommission tue nicht genug gegen Irlands Versäumnisse bei der ordnungsgemäßen DSGVO-Anwendung.

Verhängte Strafen wegen DSGVO-Verstöße

Zuletzt verhängte die irische Datenschutzbehörde einige Geldstrafen [17] in Höhe von mehreren hundert Millionen Euro gegen Meta, um DSGVO-Verstöße zu ahnden. Sie blieb damit zwar weit hinter den Erwartungen von Aktivisten wie Max Schrems zurück [18]. Doch mit drei von der DPC nach Interventionen des EDSA verhängten Sanktionen in Höhe von insgesamt knapp über einer Milliarde Euro allein zwischen September 2022 und Januar 2023 liegt Meta mittlerweile laut dem "Enforcement Tracker [19]" der Kanzlei CMS an zweiter Stelle in der Statistik der höchsten individuellen Geldstrafen. Davor rangiert nur noch Amazon: Die luxemburgische Aufsicht stellte dem E-Commerce-Riesen Mitte 2021 die Rekordsumme in Höhe von 746 Millionen Euro in Rechnung [20].

Schon am Montag dürfte Platz 1 aber ebenfalls an Meta gehen. Die DPC wird kurz vor dem DSGVO-Jubiläum Anfang der Woche ihre lange erwartete Entscheidung in einem von Schrems eingeleiteten Kernverfahren veröffentlichen. Bereits seit Juli ist bekannt, dass die irischen Kontrolleure es der Meta-Tochter Facebook untersagen wollen, weiter persönliche Daten über europäische Mitglieder des sozialen Netzwerks an den Mutterkonzern in den USA zu übermitteln [21].

Metas sogenannte Standardvertragsklauseln

Hintergrund ist das Schrems-II-Urteil des Europäischen Gerichtshofs (EuGH) vom Juli 2020 [22]. Dieser hatte damit fünf Jahre nach dem von ihm erklärten Aus für das Datenschutzabkommen Safe Harbor zwischen der EU und den USA [23] im Lichte der Snowden-Enthüllungen über Praktiken der Massenüberwachung jenseits des Atlantiks auch das Nachfolgekonstrukt Privacy Shield gekippt. Meta stützt den Datenversand seitdem auf sogenannte Standardvertragsklauseln [24] (SVK), die aber zusätzlicher Schutzmechanismen bedürfen. Nach Einschätzung der DPC reichen die von dem Social-Network-Betreiber getroffenen Vorkehrungen nicht aus, um den EuGH-Auflagen Genüge zu tun.

Schrems monierte voriges Jahr, dass die irische Aufsicht eine tatsächlich wirksame Geldstrafe in dem immer wieder verschleppten Fall offenbar erneut "vergessen" habe. Mit den im EDSA beschlossenen Korrekturen wird laut dem Online-Magazin "Politico" nun aber doch eine neue Rekordstrafe [25] herauskommen. Mit einem sofortigen Stopp des Datentransfers in die USA durch Meta ist trotz der verhängten Sanktionen und Auflagen indes nicht zu rechnen: der Konzern dürfe zunächst den Rechtsweg bestreiten. Auch die DPC kündigte in anderen Fällen bereits an, sich gegen die Einmischung des EDSA vor dem EuGH zur Wehr zu setzen.

Streit um neuen "Transatlantischen Datenschutzrahmen"

Parallel arbeiten die EU-Kommission und die US-Regierung mit Hochdruck an einem neuen "Transatlantischen Datenschutzrahmen" [26], auf den sich dann auch Meta berufen könnte. Washington versprach dazu eine "beispiellose" Überwachungsreform [27] mit wirksamen Kontroll- und Rechtsschutzmöglichkeiten, um den EuGH-Vorgaben doch noch zu entsprechen. Doch der Verhandlungsprozess verläuft nicht reibungslos: So stellte das US-Justizministerium jüngst unbequeme Fragen zu den Überwachungs- und Spionagepraktiken von EU-Staaten [28]. Denn auf der anderen Seite des Atlantiks gibt es Ärger darüber, dass immer nur US-Abhöraktionen im Fokus stehen.

Zudem appellierte das EU-Parlament gerade an die Kommission, den USA den für die Übereinkunft nötigen Angemessenheitsbeschluss zum Datenschutz angesichts rein kosmetischer Nachbesserungen nicht zuzugestehen [29]. Die EU-Datenschutzbeauftragten haben ebenfalls Bedenken [30]. Schrems hält den dritten Anlauf aufgrund massiver Webfehler wieder nicht für tragfähig.

Geldbußen in Höhe von fast 3 Milliarden Euro

Insgesamt belaufen sich die auf DSGVO-Basis in über 1600 Fällen verhängten Geldbußen inzwischen auf rund 2,8 Milliarden Euro. Sie dürften am Montag die 3-Milliarden Marke deutlich überspringen. Allein beim EDSA seien momentan über 2000 Verfahren mit grenzüberschreitendem Charakter anhängig, berichtete die scheidende Vorsitzende des Gremiums, Andrea Jelinek, jüngst in einem Podcast des Online-Portals "Euractiv" [31]. 711 solcher Fälle habe der Ausschuss inzwischen entschieden, von denen nur acht intern umstritten gewesen seien. Auch in diesen hätten die Mitglieder aber innerhalb von zwei Monaten letztlich einen Beschluss gefällt, den die zuständige Behörde dann umsetzen müsse.

Im Oktober schickte der EDSA eine umfangreiche "Wunschliste" [32] an Justizkommissar Didier Reynders. Die Regierungseinrichtung soll demnach vor allem festlegen, wie das Gremium in spezifischen strategischen Fällen besser kooperieren kann. Etwa auch die Stellung und die Rechte der an Verwaltungsverfahren beteiligten Parteien und die Verfahrensfristen sollen klargestellt werden. Die Kommission dürfte in ihrem in Bälde erwarteten Vorschlag einige dieser Punkte aufgreifen.

DSGVO als Richtschnur für ChatGPT, Midjourney und Co.

Die allgemeine Architektur der DSGVO hat sich aber bewährt, unterstreicht Jelinek. Auf keinen Fall sollte die Politik hier "das ganze Fass wieder aufmachen". Die Unternehmen befolgten inzwischen größtenteils die Kernvorgaben. Zudem seien über 20 Streitfälle vor dem EuGH anhängig, dessen Entscheidungen bald mehr Rechtssicherheit brächten. Erst Anfang Mai arbeiteten die Luxemburger Richter heraus, dass ein breiter Schadenersatzanspruch im Sinne der DSGVO ist [33] und die darin verankerten Auskunftsrechte prinzipiell weit zu fassen sind.

Auch für neue Herausforderungen wie Systeme der generativen Künstlichen Intelligenz (KI) wie ChatGPT [34] und Midjourney, die neue Texte, Bilder, Musik oder Videos auf Basis vorhandener Werke und damit trainierter Modelle erzeugen, fungiert die DSGVO Jelinek zufolge prinzipiell als gute Richtschnur. Der EDSA habe dazu am 14. April eine eigene Arbeitsgruppe gegründet und erste "offene Diskussionen" geführt. Dabei gehe es auch darum, eine einheitliche Antwort auf Beschwerden im Rahmen des "One-Stop-Verfahrens" sicherzustellen. Der ChatGPT-Entwickler OpenAI habe keine Niederlassung in der EU, sodass für ihn sonst prinzipiell in der ganzen EU über 30 Aufsichtsbehörden zuständig wären. Die französische CNIL hat sich gerade mit einem eigenen KI-Aktionsplan [35] als Leiter der Taskforce empfohlen.

"Die DSGVO ist ein echtes Erfolgsmodell"

Ähnlich wie Jelinek schätzt der Bundesdatenschutzbeauftragte Ulrich Kelber die Lage ein: "Die DSGVO ist ein echtes Erfolgsmodell", hebt der Praktiker gegenüber heise online hervor. Das sehe man nicht nur in Europa, sondern auch daran, dass viele ihrer Grundprinzipien weltweit Eingang in dortige Datenschutzbestimmungen fänden. Japan, Kanada und Israel seien dafür nur einige Beispiele. Der Kontrolleur hat die Erfahrung gemacht: "DSGVO-Standards wie Datenminimierung oder Zweckbindung finden international Zuspruch."

Kelber bedauert aber auch: "Wir reden zu wenig über das, was uns die DSGVO gebracht hat". Er verweist dabei etwa auf das "Recht auf Vergessenwerden" oder den Anspruch auf eine einfache Datenübertragbarkeit bei einem Anbieterwechsel. Behörden könnten Verstöße zudem nun mit hohen Strafen ahnden oder Datenverarbeitung sogar untersagen.

Unzufriedenheit bei der Verfahrens-Geschwindigkeit

"Mit der DSGVO haben wir nicht nur Standards gesetzt, wir setzen sie auch durch", stellt der Sozialdemokrat fest. "Mit den letzten Entscheidungen zu grenzüberschreitenden Fällen, bei denen vorher national zu lange nichts passierte, haben wir jetzt auf europäischer Ebene sehr eindeutig klargemacht, dass es für bestimmte Datenerhebungen gerade in großen sozialen Netzwerken keine Rechtsgrundlage gibt und diese Erhebungen in der Form verboten sind." Entsprechende internationale Anbieter müssten ihre Modelle anpassen. Zusätzlich gebe es "empfindliche Geldbußen".

Mit der Geschwindigkeit mancher großer Verfahren ist Kelber aber nach wie vor nicht zufrieden. Vorschläge von einigen Aufsichtsbehörden zur besseren Durchsetzung der DSGVO könnten aber zu einer Beschleunigung führen. Das sei wichtiger als Fristen für die Bearbeitung von Beschwerden. Künftig sollte die federführende Behörde mitteilen müssen, welche Punkte sie untersucht und zu welchen Ergebnissen sie dabei kommt. Ohne diese neuen Zwischenschritte höre man bislang jahrelang nichts und müsse dann innerhalb von vier Wochen auf die Entscheidung der leitenden Instanz reagieren. Zudem entstehe so hoffentlich eine "Compliance-Kultur, bei der einmal sanktionierte Verhaltensweisen nicht wieder auftreten, weil schnelle Strafen drohen".

Entbürokratisierung anpassen – Entlastung schaffen

Der Informatiker drängt ferner auf eine Entbürokratisierung, indem die Dokumentations- und Informationspflichten angepasst werden. Für kleine und mittlere Unternehmen und Vereine könne so eine echte Entlastung geschafft werden. Aber auch den Nutzern würde das zugutekommen, da sie nicht länger durch abgestufte Informationen "überflutet" würden. Nicht zuletzt rät Kelber zu Anpassungen bei "Profilbildung [36] und automatisierten Entscheidungen". Hier brauche es klarere Rechtsgrundlagen, weil beim Datensammeln schon viel passiere, bevor die DSGVO eingreift.

Ähnlich sei es etwa beim Einsatz statistischer oder Algorithmen-gesteuerter Verfahren wie Scoring zur Bonitätsprüfung [37]: "Wenn angesichts Ihrer Daten das rote Licht auf dem Computerbildschirm leuchtet, gibt Ihnen der menschliche Mitarbeiter davor keinen Kredit", erläutert der Behördenchef. Aber nach der DSGVO ist das kein automatisiertes Verfahren, weil diese Person noch die Entscheidung mitteilt. Das müsse korrigiert werden.

"Cookie-Müdigkeit"

Sogar die harte Nuss der laufenden Entwertung der freiwilligen Einwilligung durch Cookie-Banner will die Kommission nun doch noch knacken. Reynders kündigte Anfang April auf dem Europäischen Verbrauchergipfel den Start einer – zunächst nur freiwilligen – Initiative an, um der "Cookie-Müdigkeit" entgegenzutreten [39]. Die Verbraucherschutzabteilung der Regierungsinstitution soll dazu eine Reihe von Diskussionsrunden mit Interessengruppen wie Verlagen, Werbetreibenden, AdTech-Unternehmen, digitalen Plattformen und Konsumentenschützern durchführen.

Ziel ist es, "den Verbrauchern eine einfachere Auswahl an Werbemodellen vorzuschlagen und gegebenenfalls ihren Wunsch, nicht getracked zu werden, zu respektieren". Auch alternative Methoden für die Personalisierung von Werbung im Gegenzug für den weiterhin kostenlosen Zugang zu Inhalten sollen entwickelt werden.

"Do not track"-Browsereinstellungen gegen Zustimmungsfrust

Als einen Ansatz bringt die Kommission ins Spiel, dass Nutzer ihre Präferenzen rund um Tracking nur noch einmal als Teil der Browsereinstellungen angeben müssen. "Do not Track"-Mechanismen [50] sind dort schon seit Langem vorgesehen, entwickelten sich aufgrund Widerständen von mehreren Seiten aber nicht zum allgemein akzeptierten Standard. Eine Schwierigkeit dabei ist, dass Google mit Chrome den meistgenutzten Browser herausgibt und zugleich das weltweit größte Werbenetzwerk betreibt.

Vorgesehen sind ferner etwa zusätzlich ausführliche Erklärungen, warum Interessenten die Daten von Nutzern anfordern, welchen potenziellen Mehrwert dies für die Betroffenen hat und welches Geschäftsmodell dahintersteht. Ohne gesetzliche Regelung, wie sie etwa mit der E-Privacy-Verordnung längst angedacht war, dürfte sich auf diesem Feld aber voraussichtlich wenig ändern.

(bme [51])

URL dieses Artikels:
https://www.heise.de/-9059939

Links in diesem Artikel:
[1] https://www.heise.de/thema/DSGVO#liste
[2] https://www.heise.de/news/re-publica-zum-DSGVO-Armageddon-Wenn-Kirchen-nicht-mehr-live-streamen-duerfen-4417069.html
[3] https://www.heise.de/news/Datenschutzkonferenz-zur-DSGVO-Zwischen-Buerokratie-und-Entschlossenheit-4223161.html
[4] https://www.heise.de/news/DSGVO-Kein-schneller-Schutz-vor-Abmahnungen-4077539.html
[5] https://www.heise.de/news/Wackeliges-Geschaeftmodell-Weitere-Massenabmahnungen-wegen-Google-Fonts-7338721.html
[6] https://www.heise.de/news/Abmahn-Lawine-wegen-Google-Fonts-Anwalt-hat-genug-und-bangt-um-Lizenz-7532529.html
[7] https://www.heise.de/news/Google-Fonts-Durchsuchungen-wegen-Abmahnbetrugs-vermeintlicher-Datenschuetzer-7440620.html
[8] https://edps.europa.eu/data-protection/our-work/publications/events/2023-05-23-5th-anniversary-gdpr-still-benchmark-eu-digital-landscape_de
[9] https://www.heise.de/news/Plattformen-in-der-Verantwortung-Digital-Services-Act-in-Kraft-getreten-7343795.html
[10] https://www.heise.de/news/EU-Studie-97-Prozent-der-populaersten-Webseiten-nutzen-Dark-Patterns-7125348.html
[11] https://www.heise.de/news/Kritik-aus-EU-Parlament-Schwedische-Ratspraesidentschaft-verhindert-E-Privacy-7541104.html
[12] https://www.heise.de/thema/Missing-Link
[13] https://www.heise.de/news/EU-Datenschuetzer-fordert-Einbau-von-Datenschutz-in-die-Technik-960735.html
[14] https://www.heise.de/news/DSGVO-Kritik-an-Irland-als-Europas-Flaschenhals-mit-Zahlen-untermauert-6191701.html
[15] https://www.heise.de/news/Datenschutz-Durchsetzung-EU-Kommission-will-Kernproblem-der-DSGVO-beheben-7522997.html
[16] https://www.heise.de/news/Mangelnde-DSGVO-Durchsetzung-Beschwerde-gegen-EU-Kommission-eingeleitet-6280112.html
[17] https://www.heise.de/news/Trick-bestraft-Meta-fehlt-Rechtsgrundlage-fuer-personalisierte-Werbedaten-7448782.html
[18] https://www.heise.de/news/Schrems-Irische-Datenschutzstrafe-fuer-Meta-haette-4-Milliarden-hoeher-sein-muessen-7463309.html
[19] https://www.enforcementtracker.com
[20] https://www.heise.de/news/Datenschutz-Rekordstrafe-von-746-Millionen-Euro-fuer-Amazon-in-Luxemburg-6152051.html
[21] https://www.heise.de/news/Irische-Aufsicht-will-Facebook-Datentransfer-in-die-USA-untersagen-7167378.html
[22] https://www.heise.de/news/EuGH-kippt-EU-US-Datenschutzvereinbarung-Privacy-Shield-4845204.html
[23] https://www.heise.de/news/Datenschutz-bei-Facebook-Co-EuGH-erklaert-Safe-Harbor-fuer-ungueltig-2838025.html
[24] https://www.heise.de/news/Standardvertragsklauseln-Neue-EU-Basis-fuer-globale-Datentransfers-steht-6063003.html
[25] https://www.politico.eu/article/meta-faces-record-privacy-fine-for-data-transfers-to-the-us/
[26] https://www.heise.de/news/Nach-Privacy-Shield-USA-machen-Vorstoss-fuer-neues-Datenschutz-Abkommen-mit-EU-7287629.html
[27] https://www.heise.de/news/Privacy-Shield-2-0-USA-geloben-beispiellose-Ueberwachungsreform-6641235.html
[28] https://www.heise.de/news/Transatlantischer-Datenschutzrahmen-USA-wollen-Ueberwachung-in-der-EU-pruefen-8983562.html
[29] https://www.europarl.europa.eu/doceo/document/B-9-2023-0234_DE.html
[30] https://www.heise.de/news/Europas-Datenschuetzer-machen-Weg-fuer-EU-US-Datenschutzvereinbarung-frei-7532414.html
[31] https://www.euractiv.com/section/digital/podcast/1919161/
[32] https://edpb.europa.eu/system/files/2022-10/edpb_letter_out2022-0069_to_the_eu_commission_on_procedural_aspects_en_0.pdf
[33] https://www.heise.de/news/EuGH-Urteil-Breiter-Schadenersatzanspruch-ist-im-Sinne-der-DSGVO-8987526.html
[34] https://www.heise.de/thema/ChatGPT
[35] https://www.cnil.fr/fr/intelligence-artificielle-le-plan-daction-de-la-cnil
[36] https://www.heise.de/news/Profilbildung-fuer-Werbung-900-000-Euro-Bussgeld-fuer-Hannoversche-Volksbank-7192864.html
[37] https://www.heise.de/news/EU-Generalanwalt-Schufa-Profile-nicht-erlaubt-7548631.html
[38] https://www.heise.de/Datenschutzerklaerung-der-Heise-Medien-GmbH-Co-KG-4860.html
[39] https://www.heise.de/news/Freiwillige-Vereinbarung-EU-Kommission-will-die-Cookie-Banner-Flut-bekaempfen-8004201.html
[40] https://www.heise.de/hintergrund/Recht-Geheimhaltungsvorgaben-fuer-IT-Dienstleister-9645019.html
[41] https://www.heise.de/hintergrund/Digital-Markets-Act-Wie-die-EU-Weltkonzerne-zu-europaeischen-Sonderlocken-zwingt-9635495.html
[42] https://www.heise.de/hintergrund/Account-Sperren-auf-X-Facebook-und-Co-Digital-Service-Act-schuetzt-Verbraucher-9634247.html
[43] https://www.heise.de/hintergrund/IT-Recht-Wie-der-Digital-Services-Act-ohne-deutsches-Begleitgesetz-startet-9607325.html
[44] https://www.heise.de/hintergrund/Whistleblower-Schutz-Neue-Bestimmungen-jetzt-umsetzen-9352663.html
[45] https://www.heise.de/hintergrund/Datenschutzbehoerden-praezisieren-neue-Regeln-zum-US-Datentransfer-9315144.html
[46] https://www.heise.de/hintergrund/Data-Privacy-Framework-Wie-lange-es-halten-wird-ein-Report-9219648.html
[47] https://www.heise.de/hintergrund/Schmerzensgeld-bei-Datenschutzverstoss-Wer-Anspruch-haben-koennte-und-wer-nicht-9203494.html
[48] https://www.heise.de/hintergrund/Hinweisgeberschutz-Mehr-Rechtssicherheit-fuer-Whistleblower-7304857.html
[49] https://www.heise.de/hintergrund/Cookie-Banner-auf-Websites-Unklare-Rechtslage-bei-Ausgestaltung-8965233.html
[50] https://www.heise.de/news/Global-Privacy-Control-Browser-Signal-gegen-Datenhandel-4924705.html
[51] mailto:bme@heise.de

Copyright © 2023 Heise Medien