Beim Blick in den 5. Tätigkeitsbericht zum Datenschutz nach der DS-GVO des Jahres 2022 fällt auf: Die Corona-Pandemie ist nicht mehr das alles beherrschende Thema, auch wenn es noch einige Fälle in diesem Zusammenhang gegeben hat. Andere Datenschutzthemen haben wieder mehr an Bedeutung gewonnen. Der Bericht greift zunächst wichtige Themengebiete in allgemeiner Form auf. Besondere Bedeutung im Berichtsjahr hatte dabei für die Behörde des TLfDI zunächst die Feststellung der Datenschutzkonferenz (DSK), dass der Clouddienst Microsoft 365 nicht den Anforderungen der DS-GVO gerecht wird und daher von Verantwortlichen, seien sie privat oder öffentlich, nicht datenschutzkonform genutzt werden kann (siehe DSK unter: https://www.datenschutzkonferenz-online.de/media/dskb/2022_24_11_festlegung_MS365_abschlussbericht.pdf ). Dass diese Entscheidung der DSK weitreichende Konsequenzen hat, ist den Datenschutzaufsichtsbehörden durchaus bewusst. „In Thüringen ist mit Blick auf die Verarbeitung von Kinderdaten diese Frage vor allem für den Schulbereich von Bedeutung“, so Dr. Lutz Hasse (TLfDI) – vergleiche ab Seite 16, 1.5 – Microsoft 365 in der Schule. Unter dem Punkt 5.1:            Vorträge und Veranstaltungen – Der TLfDI informiert! Der TLfDI ist unterwegs! – finden Sie weitere Aktivitäten des TLfDI zu Schule und Fortbildung der Lehrerinnen und Lehrer, sowie zu aktuellen Informationen, wie den Videokonferenzen mit den Schulleitungen, den Schulleiterbriefen und FAQs und der Videoreihe „Datenschutz geht zur Schule“.

Einige statistische Angaben: Im Berichtsjahr 2022 wurden 112 Bußgeldverfahren eröffnet. Insgesamt wurden beim TLfDI 55 Bußgeldbescheide erlassen, etwas weniger als im Vorjahr, wovon 42 bis zum Ende des Berichtszeitraumes Rechtskraft erlangten. Die Höhe der insgesamt festgesetzten Bußgelder betrug 31.165 Euro. Der TLfDI erließ 8 Bußgeldbescheide nach Art. 83 Abs. 4 Buchst. a) DS-GVO wegen unterlassener Meldung nach Art. 33 DS-GVO (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde; umgangssprachlich „Datenpannen“) und richteten sich gegen Unternehmen. Weiterhin wurden 46 Bußgeldbescheide nach Art. 83 Abs. 5 Buchst. a) DS-GVO erlassen. Der überwiegende Teil der Bußgeldbescheide richtete sich gegen die Betreiber von unbefugter Videoüberwachung – sowohl im Privatbereich als auch gegen Unternehmen. Bei den Verstößen im Polizeibereich ist eine positive Entwicklung festzustellen. Im Berichtsjahr 2022 wurden insgesamt 5 Bußgeldbescheide wegen unbefugten Abrufen in polizeilichen IT-Systemen durch Beamte der Thüringer Polizei erlassen. Im Vorjahr (2021) lag die Anzahl der Bußgeldbescheide im Polizeibereich mit 24 deutlich höher. Ferner erließ der TLfDI 1 Bußgeldbescheid nach § 43 Abs. 2 Nr. 2 Bundesdatenschutzgesetz alter Fassung. Hierbei wurden unter anderem datenschutzrechtliche Verletzungen bei der Einführung einer elektronischen Legitimation der Schüler bei der Mittagsversorgung an einer Gesamtschule sanktioniert. Insgesamt ist die Zahl der Meldungen der Verletzung des Schutzes personenbezogener Daten nach Art. 33 DS-GVO mit 261 im Vergleich zum Vorjahr leicht zurückgegangen.

Eine Auswahl besonders auffälliger Fälle aus dem öffentlichen Bereich finden Sie unter anderem unter den Verzeichnispunkten 2.3: Eine Frage der Eh(r)e – Der Beschwerdeführer machte in diesem Fall von seiner Klagemöglichkeit gegen den Bescheid des TLfDI Gebrauch und erhob beim Verwaltungsgericht Weimar Klage gegen den Bescheid des TLfDI. Nachzulesen ab Seite 61. Oder der Bericht ab Seite 73, 2.7: Was darf die Schule in der Klasse zu einzelnen Schüler:innen verkünden? – Wer in der Schule durch eine Prüfung fällt, darf darauf vertrauen, dass das Prüfungsergebnis nicht den Klassenkameraden zur Kenntnis gegeben wird – weder durch offenes Verlesen der Note vor der Klasse noch durch Bekanntgabe, ob die Prüfung bestanden oder nicht bestanden wurde. Auch eine besondere „Behandlung“ des unglücklichen Prüflings, die auf ein entsprechendes Ergebnis schließen lässt, ist nicht zulässig. Interessant ist auch der Bericht unter 2.11: Heizkostenpauschale – wie kommen Studierende an ihr Geld? – Der TLfDI erteilte keine Freigabe zu geplanten Datenverarbeitungen. Er berät aber dazu, welche Anforderungen an eine datenschutzgerechte Verarbeitung zu stellen sind. So auch geschehen im Zusammenhang mit der Heizkostenpauschale für Studierende. Für Leserinnen und Leser könnte aus dem nicht-öffentlichen Bereich bedeutsam sein zum Beispiel der Bericht unter 3.4: Videoüberwachung im Wartebereich einer Arztpraxis – Eine Videoüberwachung des Wartebereichs während der Sprechzeiten in einer Arztpraxis stellt auch ohne Speicherung der Aufnahmen in Form eines Live-Monitoring am Empfangstresen einen erheblichen Eingriff in die Rechte der betroffenen Patienten dar. Sie ist aufgrund des Überwiegens von deren Interessen als unzulässige Datenverarbeitung zu bewerten. Zudem ist daneben auch immer anhand des verfolgten Zwecks zu prüfen, ob nicht mildere Maßnahmen zum gleichen Ziel führen. Oder 3.8: Videoüberwachung im Kuhstall – neugierig geworden?

Zum Thüringer Transparenzgesetz:

Beim TLfDI gab es im Informationsfreiheitsbereich etwas zu feiern: Am 29. Dezember 2022 konnte der TLfDI in seiner Funktion als Informationsfreiheitsbeauftragter sein 10. Jubiläum begehen. „Thüringen ist im Vergleich zu anderen Bundesländern, die nach wie vor kein Informationsfreiheitsgesetz/Transparenzgesetz haben, gut aufgestellt. Dennoch wird das Potenzial des Thüringer Transparenzgesetzes noch nicht so ausgeschöpft, wie es sich der TLfDI vorgestellt hat. „Das kann man weiter steigern“, so Dr. Hasse in seinem Resümee. Spannende Einzelfälle, wie zum Beispiel das plötzliche Auftauchen einer anfangs nicht vorhandenen Information sowie interessante Entscheidungen der Gerichte (zum Beispiel Informationspflicht vs. Urheberrecht) als auch die Entschließungen der Konferenz der Informationsfreiheitsbeauftragten in Deutschland finden sich zum Nachlesen im 3. Tätigkeitsbericht zum Thüringer Transparenzgesetz (ThürTG). Ein klarer Trend ist dabei zu beobachten: Die Entwicklung des Transparenzrechtes stoppt niemals.