© Minerva Studio - Eye close-up - fotolia.com
1.1 Schwerpunkte im Berichtszeitraum
Die Arbeit des TLfDI im Berichtszeitraum war in zweierlei Hinsicht maßgeblich durch die Anforderungen der Corona-Pandemie geprägt.
Einerseits galt es, die Aufgaben nach der DS-GVO auch unter er-schwerten Bedingungen wahrnehmen zu können, andererseits gab es zahlreiche datenschutzrechtliche Probleme im Umgang mit der Pan-demie.
Angesichts der Corona-Pandemie im Jahr 2020 trat eine sehr wichtige Entscheidung, die der Europäische Gerichtshof (EuGH) zu Daten-übermittlungen in die USA traf, fast in den Hintergrund. Dies ist an-gesichts der Bedeutung des Urteils in der Rechtssache C-311/18 „Sch-rems II“ nicht gerechtfertigt. Personenbezogene Daten von EU-Bür-gern dürfen nur an Drittländer außerhalb des Europäischen Wirt-schaftsraums übermittelt werden, wenn sie in diesem Drittland einen im Wesentlichen gleichwertigen Schutz genießen wie in der Europäi-schen Union. Dies hat der EuGH für die USA verneint. Diese Ent-scheidung hat erhebliche Auswirkungen für Verantwortliche in Eu-ropa (siehe Beitrag 2.1). Mit ihr hängt auch mittelbar die Frage zu-sammen, inwieweit Produkte der Firma Microsoft, die bei etlichen Verantwortlichen nicht mehr wegzudenken sind, zum Einsatz kom-men dürften (siehe Beitrag 2.7).
Ansonsten finden sich im Tätigkeitsbericht etliche Beiträge zu den da-tenschutzrechtlichen Auswirkungen der Corona-Pandemie. Sie hatte zur Folge, dass es im Berichtszeitraum so gut wie keine Vororttermine mehr gab und Beratungs- oder Schulungstermine nur online abgehal-ten werden konnabgehal-ten. Auch beim Thüringer Landesbeauftragabgehal-ten für den Datenschutz und die Informationsfreiheit (TLfDI) wurde die Te-learbeit ausgebaut, um der Ansteckungsgefahr für seine Mitarbeiter möglichst effektiv zu begegnen.
Einen großen Raum nahm die Beratung der Verantwortlichen im Um-gang mit der Pandemie in datenschutzrechtlicher Hinsicht ein. Ganz besonders betraf dies den schulischen Bereich, in dem innerhalb von kürzester Zeit von Präsenz- auf Digitalunterricht umgestellt werden musste, ohne dass die dafür erforderliche Infrastruktur vorhanden war (siehe Beitrag 2.3 und 2.5). Allerorts war der Bedarf an der Nutzung von Videokonferenzsystemen groß, der Datenschutz fand dabei zu-nächst kaum Beachtung (siehe Beitrag 2.12 und 3.16). Die Masken-pflicht an Schulen (siehe Beitrag 3.17) war ebenso Thema wie der Umgang mit Coronalisten (siehe Beitrag 4.1).
Nach wie vor war auch die Aufklärung und Sensibilisierung ein wich-tiger Baustein der Arbeit des TLfDI mit Vorträgen und Veranstaltun-gen (siehe Beitrag 6) und VeröffentlichunVeranstaltun-gen zu Datenschutzthemen, beispielsweise zu Datenschutzanforderungen für öffentliche Stellen (siehe Beitrag 2.9) und Datenschutz-Folgenabschätzung (siehe Bei-trag 2.11).
Daneben gab es auch ansonsten zahlreiche Beschwerden und Bera-tungsanfragen (siehe Beitrag 1.2), von denen der Tätigkeitsbericht Ihnen einen repräsentativen Eindruck vermitteln soll. So gibt es bei-spielsweise immer noch zahlreiche Fälle, in denen die Zulässigkeit des Einsatzes von Videoüberwachungstechnik zu prüfen ist, es werden hierzu aber nur Beispielsfälle aufgeführt. Über alle Einzelfälle zu be-richten, würde seine Kapazitäten sprengen und zu Lasten der Hand-lungsfähigkeit gehen. Die Auswahl der Beiträge soll Ihnen einen Ein-druck von der Vielfältigkeit der vom TLfDI bearbeiteten Fälle geben.
1.2 Statistik im Berichtszeitraum
Auch im zweiten Kalenderjahr nach dem Wirksamwerden der DS-GVO ist die Zahl der Posteingänge beim TLfDI auf bisher höchstem Niveau. Meldungen von Datenpannen sowie auch der Eingang von
Beschwerden haben gegenüber dem letzten Berichtsjahr zugenom-men.
Im Jahr 2020 gab es 22.193 Posteingänge beim Thüringer Landesbe-auftragten für den Datenschutz und die Informationsfreiheit (TLfDI).
Damit bewegt sich ihre Zahl mit einer Steigerung gegenüber dem Vor-jahr auf dem höchsten Niveau seit Bestehen der Behörde.
Davon waren 3.058 Eingänge solche in Beschwerdeverfahren nach Art. 77 Datenschutz- Grundverordnung (DS-GVO), also Beschwer-den von natürlichen Personen, die von der in Rede stehenBeschwer-den Daten-verarbeitung persönlich betroffen sind. Über 6.800 Eingänge gab es im europäischen Kontext (unter anderem länderübergreifende Verfah-ren, Abstimmungsbedarfe mit Blick auf EuGH-Schrems-II und den Europäischen Datenschutzausschuss).
Ein Schwergewicht der Posteingänge liegt bei Anzeigen, Hinweisen, Beratungsanfragen und Abstimmungsverfahren zwischen den Daten-schutzbeauftragten zu Fragen der Datenschutzkonferenz.
Insgesamt gab es zudem 204 Meldungen nach Art. 33 DS-GVO zu Verletzungen des Schutzes personenbezogener Daten. Hier ist eine deutliche Steigerung gegenüber dem Vorjahr mit 159 Meldungen zu verzeichnen. Es gab sehr viele Fälle, in denen E-Mails oder auch
Briefe an den falschen Adressaten versandt wurden. In manchen Fäl-len kam es zum Verlust von Akten oder sonstigen Papieren aufgrund von Unachtsamkeit oder Diebstahl. Es gab unberechtigte Zugriffe, Phishing-Angriffe und etliche Cyber-Angriffe. Wie der TLfDI in sol-chen Fällen verfährt, können sie dem Beitrag 2.19 entnehmen.
Im Berichtszeitraum wurden beim TLfDI 121 Bußgeldverfahren er-öffnet. Insgesamt wurden 41 Bußgeldbescheide erlassen – hier hat sich die Zahl gegenüber dem Vorjahr fast verdoppelt – von denen 33 rechtskräftig sind. Gegen die übrigen acht Bescheide wurde Einspruch eingelegt. Davon liegen fünf Fälle dem Amtsgericht Erfurt zur abschließenden Entscheidung vor und zwei Bescheide wurden nach Prüfung der Einspruchsbegründung zurückgenommen.
Ein Verfahren betraf Art. 83 Abs. 4 DS-GVO und 21 Verfahren Art. 83 Abs. 5 DS-GVO. Ein Verfahren wurde nach § 43 Abs. 1 Nr. 2 Thüringer Datenschutzgesetz eingeleitet und 18 Verfahren betrafen
§ 43 Bundesdatenschutzgesetz (alte Fassung). Die Gesamthöhe der verhängten Bußgelder belief sich auf 17.630,00 Euro. Der Bußgeld-rahmen der in 2020 erlassenen Bußgeldbescheide lag zwischen 50 Euro und 2.000 Euro.
Von den 41 Bußgeldbescheiden wurden 12 Bußgeldbescheide wegen unzulässiger Videoüberwachung und 13 Bußgeldbescheide gegen Po-lizeibeamte (wegen unbefugten Abrufen aus polizeilichen IT-Syste-men und/oder der Übermittlung dienstlicher Daten über WhatsApp) erlassen. Weitere Einzelheiten zu Bußgeldverfahren beim TLfDI fin-den sich im Beitrag 2.17.
Nicht zu vergessen sind die zahlreichen Telefonate, die die Mitarbei-terinnen und Mitarbeiter des TLfDI täglich geführt haben, um Bürge-rinnen und Bürger oder Verantwortliche telefonisch zu beraten. Viele Thüringer wählen diesen Weg, um sich über Datenschutzfragen (vorab) zu informieren. Nach einer überschlägigen Schätzung handelt es sich dabei um mindestens 25.000 Telefonate im Berichtszeitraum.
Sie wurden aus Gründen der Arbeitsersparnis und der Vermeidung von Mitarbeiterüberwachung nicht erfasst.