Datenschutz wird greifbar, wenn man ihn erlebt. Zehn berühmte Fälle — erzählt als Geschichte, mit Bild, mit der Frage, die jeden im Alltag betrifft.
So bereite ich Themen im Training auf: als Fall zum Miterleben. Jede dieser zehn Geschichten hat das Datenschutzrecht bewegt — und jede steckt bis heute in einer ganz alltäglichen Frage: Wo liegen unsere Daten? Wen dürfen wir überwachen? Was darf online über uns stehen? Zählt ein vorangekreuztes Häkchen? Wer bekommt eigentlich unsere Daten?
Sie arbeiten mit Kameras, die KI nutzen? Der Live-Check KI-Kameras ordnet Ihren eigenen Einsatz in wenigen Fragen ein — Verbot, Hochrisiko oder allgemeine Videoüberwachung, mit der aktuellen Rechtslage und den Urteilen zum Anklicken.
Fall 1 · 2015 & 2020
Schrems: Der Student, der die Datenbrücke zweimal einriss
Ein junger Jurist stellt eine Frage — und zweimal fällt das Abkommen, auf dem der halbe transatlantische Datenverkehr ruht.
Zwei Abkommen, zweimal gekippt
2011 verlangt der Wiener Jurastudent Max Schrems Auskunft von Facebook — und bekommt über 1.000 Seiten zurück. Ihn stört, dass seine Daten auf US-Servern liegen, wo Geheimdienste zugreifen können. Er beschwert sich, klagt, bleibt hartnäckig.
2015 kippt der EuGH das „Safe Harbor"-Abkommen (Schrems I). Die EU baut Ersatz: das „Privacy Shield". 2020 kippt der EuGH auch das (Schrems II) — und verschärft zugleich die Anforderungen an Standardvertragsklauseln.
Eine einzelne Auskunftsanfrage wurde zum größten Hebel im internationalen Datenschutz.
Das Urteil
US-Recht bietet kein gleichwertiges Schutzniveau. Datentransfers brauchen zusätzliche Garantien — heute das EU-US Data Privacy Framework oder SCC mit Risikoprüfung.
Jedes Unternehmen mit US-Cloud (Microsoft, Google, AWS, Zoom) steht seither in der Nachweispflicht — bei jedem Tool.
Fall 2 · 2008
Lidl: Detektive im Discounter
Ein Discounter lässt seine Mitarbeitenden beschatten — bis in die Toilettenpause.
Verdachtslose Dauerüberwachung
2008 wird bekannt: Der Discounter setzt Detektive auf die eigene Belegschaft an. Sie notieren systematisch, was sie beobachten — Toilettengänge, Krankheiten, Finanzen, Privatleben, Tätowierungen. In den Protokollen stehen Sätze wie „möchte mit ihrem geringen Verdienst mehr Geld verdienen".
Der öffentliche Aufschrei ist enorm. Es folgen Bußgelder — und eine Debatte, die den Beschäftigtendatenschutz in Deutschland bis heute prägt.
Was der Arbeitgeber „Sicherheit" nannte, war flächendeckende Beschattung.
Das Urteil
Heimliche, verdachtsunabhängige Dauerüberwachung ist unzulässig. Beschäftigtendaten genießen besonderen Schutz.
Videoüberwachung, Zeiterfassung, E-Mail-Kontrolle, „Corporate Investigations" — alles braucht Rechtsgrundlage und Verhältnismäßigkeit.
Fall 3 · 2014
Google Spain: Das Recht, vergessen zu werden
Ein Mann googelt sich selbst — und findet eine 16 Jahre alte Sache, die ihn bis heute verfolgt.
Auslistung aus den Suchergebnissen
Der Spanier Mario Costeja González findet bei Google eine alte Zeitungsanzeige über die Pfändung seines Hauses. Die Sache ist längst erledigt — aber sie taucht bei jeder Suche nach seinem Namen wieder auf. Er klagt.
2014 entscheidet der EuGH (C-131/12): Suchmaschinen müssen unter Umständen Links zu veralteten, irrelevanten Informationen entfernen. Das „Recht auf Vergessenwerden" ist geboren.
Nicht die Zeitung musste löschen — sondern die Suchmaschine, die alles auffindbar hielt.
Das Urteil
Betroffene können unter Bedingungen die Auslistung aus Suchergebnissen verlangen — heute in Art. 17 DSGVO verankert.
Reputationsmanagement und Löschbegehren landen heute in jeder Rechts- und Marketingabteilung.
Fall 4 · 2019
Planet49: Das vorangekreuzte Kästchen
Ein Gewinnspiel, ein schon gesetztes Häkchen — und plötzlich ist jeder Cookie-Banner Europas betroffen.
Zustimmung nur durch aktives Anklicken
Beim Online-Gewinnspiel des Anbieters Planet49 ist die Einwilligung in Werbe-Cookies durch ein vorausgefülltes Kästchen schon gesetzt. Wer mitspielen will, stimmt also zu, ohne es zu merken.
2019 entscheidet der EuGH (C-673/17) klar: Eine vorangekreuzte Box ist keine wirksame Einwilligung. Zustimmung muss aktiv und informiert erfolgen.
Schweigen ist keine Zustimmung — auch nicht online.
Das Urteil
Cookie-Einwilligung braucht eine aktive Handlung. Ein Opt-out (vorangekreuzt, „durch Weitersurfen") genügt nicht.
Der Grund, warum heute jeder Cookie-Banner „Ablehnen" so leicht erreichbar machen muss wie „Akzeptieren".
Fall 5 · 2018
Cambridge Analytica: 87 Millionen Profile
Eine harmlose Persönlichkeits-App sammelt die Daten von Millionen Freunden — und landet in einem Wahlkampf.
Daten der Nutzer — und ihrer Freunde
Eine Quiz-App auf Facebook greift nicht nur die Daten ihrer Nutzer ab, sondern auch die ihrer Freunde — zusammen rund 87 Millionen Profile. Die Firma Cambridge Analytica nutzt sie für politisches Microtargeting.
Als der Skandal 2018 auffliegt, erschüttert er das Vertrauen in Plattformen weltweit — und beschleunigt die Datenschutz-Regulierung rund um den Globus. Facebook zahlt Rekordstrafen.
Der Preis der „kostenlosen" App war das Adressbuch der halben Welt.
Das Urteil
Datenweitergabe an Dritte ohne wirksame Einwilligung; Rekordstrafen und Auslöser vieler Reformen weltweit.
App-Berechtigungen und Datenweitergabe an Dienstleister — „Wer bekommt eigentlich unsere Daten?" ist die Kernfrage jedes DSB.
Fall 6 · 1983
Volkszählungsurteil: Als die Deutschen den Fragebogen verweigerten
Millionen weigern sich, einen Fragebogen auszufüllen — und das höchste Gericht erfindet ein neues Grundrecht.
Der gläserne Mensch — verhindert
1983 plant die Bundesrepublik eine Volkszählung. Der Widerstand ist enorm: Bürger fürchten den „gläsernen Menschen" und rufen zum Boykott auf. Das Bundesverfassungsgericht stoppt die Zählung — und formuliert ein neues Grundrecht.
Das Recht auf informationelle Selbstbestimmung: Jeder darf grundsätzlich selbst bestimmen, wer was wann über ihn weiß. Es ist bis heute das Fundament des deutschen Datenschutzes.
Aus einem Fragebogen-Streit wurde das Fundament des Datenschutzrechts.
Das Urteil
Informationelle Selbstbestimmung (Art. 2 I i.V.m. 1 I GG). Datenverarbeitung braucht gesetzliche Grundlage und klaren Zweck.
Jede „Wofür brauchen Sie das?"-Frage im Formular hat hier ihre Wurzel — Zweckbindung und Datenminimierung.
Fall 7 · 2019
Google & 50 Millionen: Die erste große DSGVO-Strafe
Ein neues Handy einrichten — und irgendwo in den Tiefen der Haken für personalisierte Werbung. Das kostet 50 Millionen.
Einwilligung, über fünf Menüs verstreut
Kurz nach Inkrafttreten der DSGVO verhängt die französische Aufsicht CNIL 2019 die erste große Strafe: 50 Mio. € gegen Google. Vorwurf: Bei der Einrichtung eines Android-Geräts fehlt es an Transparenz und an einer wirksamen Einwilligung für personalisierte Werbung.
Die nötigen Informationen sind über viele Schritte verstreut, die Zustimmung ist vorausgewählt. Das genügt nicht.
Einwilligung muss klar, informiert und leicht auffindbar sein — nicht über fünf Menüs verteilt.
Das Urteil
Verstoß gegen Transparenz- und Einwilligungspflichten (Art. 5, 6, 13/14 DSGVO).
Der Grund, warum Einwilligungen heute granular, verständlich und an einer Stelle stehen müssen.
Fall 8 · 2020
35,3 Millionen: Die heimliche Personalakte
Nach dem Urlaub ein freundliches „Welcome back" — und alles, was dabei erzählt wird, landet in einer geheimen Datei.
Gesundheit, Glaube, Familie — heimlich notiert
In einem Servicecenter werden über Jahre detaillierte Notizen über Beschäftigte gesammelt: Krankheitssymptome, Diagnosen, Urlaubserlebnisse, religiöse Ansichten, Familienprobleme. Bis zu 60 Führungskräfte konnten darauf zugreifen.
2020 verhängt die Hamburgische Aufsicht 35,3 Mio. € — damals eine der höchsten DSGVO-Strafen in Deutschland.
Aus „Fürsorge" wurde ein Profil, das niemand kennen durfte.
Das Urteil
Schwerer Eingriff in Persönlichkeitsrechte; besondere Kategorien (Gesundheit, Religion) sind streng geschützt (Art. 9 DSGVO).
Was Führungskräfte notieren, ist Datenverarbeitung — mit Grenzen. Ein „nettes Gespräch" ist kein Freibrief.
Fall 9 · 2022
Clearview AI: Drei Milliarden Gesichter
Ein Startup lädt einfach jedes Foto aus dem Netz — und baut daraus eine Suchmaschine für Gesichter.
Milliarden Fotos, ohne zu fragen
Clearview AI sammelt („scraped") Milliarden öffentlicher Fotos aus sozialen Netzwerken und dem Web und baut daraus ein Gesichtserkennungs-System, das es an Behörden verkauft. Ein einziges Foto genügt, um eine Person im Netz wiederzufinden.
Europäische Aufsichtsbehörden (Italien, Frankreich, Griechenland u. a.) verhängen Millionenstrafen und ordnen die Löschung an.
„Öffentlich im Netz" heißt nicht „frei verwendbar".
Das Urteil
Biometrische Daten sind besonders geschützt (Art. 9); massenhaftes Scraping ohne Rechtsgrundlage ist unzulässig.
Gesichter, Stimmen, Fingerabdrücke — Biometrie ist die sensibelste Datenkategorie, gerade im KI-Zeitalter.
Fall 10 · 2023
345 Millionen: Wenn Kinder online „öffentlich" sind
Ein Kind meldet sich an — und das Profil steht für alle offen, ganz ohne Zutun.
Öffentlich als Voreinstellung
2023 verhängt die irische Aufsicht 345 Mio. € gegen TikTok. Kern: Konten von Kindern waren standardmäßig öffentlich; Voreinstellungen und Hinweise berücksichtigten den besonderen Schutz Minderjähriger nicht ausreichend.
Kinder sind besonders schutzbedürftig — und die Voreinstellung entscheidet über ihre Sichtbarkeit.
„Privacy by Default" ist kein Wunsch — bei Kindern ist es Pflicht.
Das Urteil
Datenschutzfreundliche Voreinstellungen (Art. 25) und besonderer Schutz von Kindern (Art. 8) wurden verletzt.
Jede App mit jungen Nutzern muss die sichersten Einstellungen zum Standard machen.
Die Fälle sind für den Unterricht verdichtet und didaktisch aufbereitet; Namen, Jahre und Kernaussagen sind öffentlich dokumentiert. Für die Anwendung auf einen konkreten Sachverhalt ist eine eigene Prüfung nötig.
So fühlt sich ein Training bei mir an.
Aus diesen Fällen baue ich ein Datenschutz-Training für Ihr Team — ergänzt um Ihre eigenen Konstellationen und, wo es zählt, um den Schweizer Blick.