Wikipaka Intro-Musik Liv: Hallo, ich hoffe man kann uns gut hören und ihr seid alle sehr gespannt, uns heute zuzuhören. Denn wir wollen heute über Datenschutz und warum Datenschutz besonders für Jugendliche wichtig ist, und DSGVO, also die Datenschutzgrundverordnung sind ja legalere Teile von, reden. Und wir dachten, wir stellen uns erst mal vor. Ich bin Liv und ich bin seit, ich glaube, erst anderthalb Jahren bei Jugend Hackt dabei. Genau. Und ich beschäftige mich selber mit Datenschutz und werde euch auch ein bisschen was von meinem kleinen Projekt vorstellen. Ich benutze sie/ihr Pronomen und gehe noch zur Schule, was auch was mit meinem Projekt zu tun hat. Paul: Hallo, ich bin Paul, ich bin 10 Jahre alt und studiere jetzt Informatik und bin jetzt auch schon seit ein paar Jahren bei Jugend Hackt, interessiere mich auch für Datenschutz und werde euch auch ein paar Sachen erzählen, was ich für lustige Sachen mit Datenschutz gemacht habe und so. Dфҿ: Moin, ich bin Dфҿ mit dem Zopf, Pronomen sie/ihr. Ich beschäftige mich auch total gerne mit Datenschutz, gerade auch in Bezug auf Software-Entwicklung. L: Und wir dachten, wir fangen es mit einem kleinen Ice Breaker an. Und zwar: Was ist Eure Lieblings Datenschutz Funfact? Ich brauch noch ein bisschen Zeit, um mir was zu überlegen. Aber Paul, willst du vielleicht anfangen? P: Ja. Ich habe tatsächlich was, und zwar. Es kennt ja eigentlich wahrscheinlich ziemlich viele Leute diese Datenschutzerklärungen. So ellenlange Texte, die sich so gut wie niemand durchliest. Und ich hab da mal angeguckt, in der DSGVO, was da drin steht. Dazu und da steht tatsächlich im Prinzip drin, dass dass die mit Emojis gemacht werden können. Also das steht nicht ganz drin. Aber ich kann ja auch zeigen, was drin steht. So, jetzt muss der Arm ja... also in der DSGVO steht nämlich in Artikel 12 drin; die Information können in Kombination mit standardisierten Bildsymbolen bereitgestellt werden. Und wenn sie in elektronischer Form dargestellt werden müssen, müssen sie maschinenlesbar sein. Und ja, was sind standardisierte Bimbole, die maschinenlesbar sind, als Emojis. Es ist ganz witzig, weil es wird natürlich Datenschutzerklärungen aufwerten. Dann würden wahrscheinlich viel mehr Leute sich auch die angucken. D: Ja, total. P: Dфҿ mit dem Zopf, hast du irgendwas? D: Ja. P: Was findest du so unverständlich? D: Dein Funfact finde ich richtig gut, auch im Positiven richtig gut. Mein Funfact geht leider nicht ganz so ins Positive. Ich habe mir mal die Datenschutzerklärung von Microsoft heruntergeladen und als PDF gespeichert. Und jetzt kann man sich ja mal überlegen, wie viele Seiten sind das wohl in A4. Es sind 1200. Die sind in - und es ist ganz clever gelöst. Es ist eigentlich nur so eine Seite auf dem Bildschirm. Aber es sind ganz viele Unterpunkte. Und wenn alle expandiert sind, dann sind das 1200 Seiten PDF auf A4. Das finde ich schockierend, aber trotzdem lustig. Und Liv, hast du da irgendwie was, was du lustig findest? L: Ich fürchte, ich habe nicht so richtig ein Funfact, aber eher so ein Nachdenkfact Ich finde nämlich z.B. das Recht auf Vergessenwerden in der DSGVO total spannend und so, was es irgendwie ethisch so bedeutet und so. Was macht das Internet mit uns und wie lange bleibt man da? Und so was ist nicht so'n Funfact, aber so' Nachdenk-Fact. Und eine Sache die ich auch noch sagen wollte: wir sind alle keine Anwälte alles was wir sagen könnte theoretisch falsch sein. Wir versuchen natürlich unser Bestes zu geben. Aber falls ihr irgendwelche richtigen Fragen habt, die wirklich das Gesetz betreffen oder da irgendwie Probleme habt, solltet ihr am besten mit einem richtigen Anwalt darüber sprechen. Genau. Wunderbar. Dann erst einmal so: Warum ist ist Datenschutz wichtig? Worum geht's überhaupt bei Datenschutz? Dфҿ mit dem Zopf willst du da mal was dazu sagen? D: Ja genau, es gibt beim Datenschutz, so unabhängig jetzt von Recht und Datenschutzgrundverordnung und unabhängig davon hochriskant, es gibt so Grundsätze des Datenschutzes. Sind eher philosophisch-ethische Grundsätze. Da geht es darum, was ist Datenschutz überhaupt und weshalb sind personenbezogene Daten überhaupt wert zu schützen? Gut, die meisten, die das hier angucken, haben da schon so Idee. Aber trotzdem können's ja nochmal durchgehen. Da gibt's den ersten Punkt. Das ist ein ganz abstrakter Punkt. Das ist der Grundsatz von "Treu und Glauben". Das hört sich total kryptisch an. Aber da geht's erst mal darum, dass Datenschutz-Verhältnis, dass Daten verhältnismäßig verarbeitet werden sollen. Das heißt, dass ich nicht einfach irgendwelchen Quatsch mit Daten machen kann dass ich vertrauenswürdig umgehen muss mit allem, was personenbezogene Daten sind. Der nächste Punkt ist der Grundsatz der Verhältnismäßigkeit. Das heißt, ich darf nicht für irgendwie eine Bestellung von 'ner Pizza, 'nen kompletten Lebenslauf und die Schuhgröße aller Verwandten verlangen. Das hat nichts damit zu tun und steht in keinem Verhältnis. In anderen Ländern kenne ich das leider. In Indien ist das leider so, dass man alles Mögliche über angeben muss, aber eigentlich entspricht das nicht den Prinzipien des Datenschutzes. Der nächste Punkt ist die Zweckbindung. Das heißt, ich darf nicht sagen... P: Also ich wollt davor mal fragen. Weil was sind diese personenbezogenen Daten? Du hast den Begriff jetzt schon mal verwendet, aber vielleicht weiß jetzt nicht jeder, was das jetzt bedeutet. Also was vielleicht willst du's kurz erklären? D: Kann ich kurz machen. Personenbezogene Daten sind alles, was mich identifizierbar macht. Das könnte mein Name sein, meine Adresse, mein Wohnort, mein Alter oder eine Kombination, vor allem häufig, aus dem, aber im Digitalen auch so Dinge wie eine IP-Adresse. Damit kann ich identifiziert werden. Personenbezogene Daten sind alles, die bezogen auf mich sind. Womit ich sagen kann, das ist ziemlich sicher diese Person. L: Ok! Genau, und diese, also personenbezogenen Daten, glaube ich, das ist so was, was man ganz oft hört. Und da gibt's aber ja sozusagen auch noch Unterkategorien. Also z.B. meine Gesundheitsdaten sind total wertvoll, oder sowas, das ich besser schützen sollte als vielleicht meine Schuhgröße, obwohl man natürlich irgendwie alle Daten schützen sollte. Aber zum Beispiel mit meinen Gesundheitsdaten kann man ganz viel Sachen über mich herausfinden, über mein persönliches Leben und mich vielleicht auch irgendwie mehr beeinflussen. Und das sind Sachen, die ich privat halten möchte, wogegen z.B. meine Schuhgröße, obwohl sie natürlich auch irgendwie zu mir gehört, vielleicht nicht ganz so, so sensitive Daten sind. Also da muss man auch nochmal; es gibt personenbezogene Daten und die selber haben auch nochmal Unterkategorien sozusagen, wie - gefährlich ist nicht das richtige Wort - aber wie schützenswert sie sind. P: Genau da muss man ja auch beachten. Also z.B. man kann ja mit Daten häufig Leute, sag ich jetzt mal, erpressen in Anführungszeichen, also mit bei Gesundheitsdaten kann's ja zum Beispiel sein, dass man nicht möchte, dass andere die erfasst, weil die dann Druck auf einen ausüben können, jetzt jetzt nicht ein Beispiel so für Jugendliche aber z.B. im Arbeitsleben oder sowas ist natürlich relevanter teilweise. Darum sind die besonders schützenswert. Aber generell ist es ja eben immer der Punkt auch wieso wir Datenschutz brauchen, weil Datenschutz ja eben es ermöglicht, auf Leute Einfluss auszuüben. Jetzt auch bekanntes Beispiel war jetzt mit Brexit, US-Wahl 2016, wo ja sehr viel an extrem personalisierten Werbungen gearbeitet wurde, was dazu geführt hat, dass das Ergebnis schon, nach Ansicht vieler Leute, beeinflusst wurde. Also das ist ja auch ein wichtiger Punkt, dass Daten geschützt werden müssen, damit man nicht beeinflussbar ist über diese. D: Genau das geht, finde ich, in 'ne ganz interessante Richtung. Also in Datenschutz geht es eigentlich immer darum, dass klar sein muss, weshalb irgendetwas so ist. Das ist so ein ganz wichtiger Grundsatz vom Datenschutz. Und wenn ich irgendwelche personalisierte Werbung zugesteckt bekomme, von mir aus Wahlwerbung für irgendeine Partei. Dann sollte ganz klar sein, dass das personalisierte Werbung für mich ist. Das ist ein ganz wichtiger Grundsatz und das wird leider in vielen Ländern der Welt mit Füßen getreten, dass das so sein muss. Das finde ich ganz schockierend. L: Das stimmt. Ich glaube, dass so... Wir haben so ein bisschen grad abgeschlossen, warum Privatsphäre und generell Datenschutz auch wichtig ist. Also gibt es auch eine Website, die heißt whyprivacymatters.org, ist auch auf GitHub, könnt ihr auch ein Pull-Request machen. Und genau, da ist einfach nochmal so aufgelistet, so, dass man vielleicht auch Daten besitzt, die anderen Leuten gehören, die man nicht teilen sollte und vielleicht auch an Institutionen. Dass es Daten gibt, die sollte man nicht an der Ecke finden, die man nicht an alle Institutionen weitergeben sollte und an das Handy zu trennen. Damit vielleicht auch Informationen nicht herausgegeben werden können, das sie irgendwie schlecht aussehen, obwohl man eigentlich gar keine schlechte Person ist. Aber ich glaube, du hattest grade noch was zu generell den Prinzipien von Datenschutz gesagt, willst du dazu nochmal weiter sagen? D: Ja, ich kann. Ich kann's versuchen, kurz zu fassen. Es gibt noch den Grundsatz der Verhältnismäßigkeit. Das hatten wir ja. Es gibt die Grundsatz der Zweckbindung. Das heißt, ich darf nicht, wenn ich sage, ich sammle Daten, um irgendwie 'ne Volkszählung zu machen. Oder Beispiele hier Corona. Ich darf nicht ... Und wenn ich sage, dass ich Daten zur Kontaktverfolgung sammle, darf ich die nicht plötzlich für Kriminalverfolgung verwenden. Das ist ein anderer Zweck und die müsste ich dann, das müsste ich vorher gesagt haben. Ich muss es transparent machen. Ich muss ganz genau. Es geht auch in die Richtung Zweckbindung. Ich muss sagen wofür, warum, wie lange, was genau. Ich muss einfach sagen, wie mit den Daten umgegangen wird. Wer kriegt noch Zugriff darauf und so weiter. Und danach zwei ganz wichtige Punkte, nämlich die Daten- Sicherheit, dass die irgendwie nicht ungesichert rumliegen, das nicht vor meiner Tür eine Kiste liegt mit all meinen Kontaktdaten und Daten-Richtigkeit. Das heißt, ich habe ein oder es sollte ich sollte ein Recht haben, alle Daten über mich, die falsch sind, korrigieren lassen zu können, dass Leute verpflichtet sind, falsche Daten von mir zu korrigieren und so weiter. Und dann - das ist jetzt speziell Europa - von der DSGVO her habe ich ein Recht auf rechtmäßige Datenverarbeitung. Genau deshalb. Das ist der Grund, weshalb es die Datenschutzgrundverordnung in der Europäischen Union gibt und die umfasst nämlich all diese Grundsätze der Daten des Datenschutzes. L: Im Mittel die ganze Zeit das Wort DSGVO um uns geschmissen. Will mal einer von euch sagen, was überhaupt die DSGVO ist? Also Paul, willst du das einfach mal machen? P: Ja, gerne. Also die DSGVO ist ein ja nicht Ge... - es heißt nicht Gesetz, sondern Verordnung - aber ist im Prinzip ein Gesetz, das auf europäischer Ebene 2016 beschlossen wurde. Und da wird festgelegt, dass die ganzen Regeln wie Daten verarbeitet werden dürfen, wie die weitergegeben werden dürfen, vor allem auch in Länder außerhalb der EU. Welche Rechte die, - das heißt betroffene Personen sind die Leute, über die die Daten, auf die sich die Daten beziehen, also welche Rechte die haben und was. Das soll vereinheitlicht werden, weil davor gab es so, eher so ein Flickenteppich. Da hatte jedes Land seine eigenen Regelungen und die DSGVO hat das Ziel, dass eben die Regeln möglichst einheitlich sind, damit eben auch die Daten in der EU weiter transportiert werden können, weil die überall gleich geschützt sind. Und die wurden wie gesagt 2016 verabschiedet und ist dann 2018 am 25. Mai in Kraft getreten. Man hat dann erst am 2018 so richtig davon gehört eigentlich, weil dann plötzlich in allen Zeitungen des stand und. Ja, ist halt ein Gesetz, dass das eben alles vereinheitlichen soll. L: Genau, und ich glaube mal, so eine ganz wichtige Sache ist, dass die DSGVO mehr Rechte an sozusagen die Einzelpersonen gibt. Also das sind z.B. dieser bekannte, wieder bekannte Artikel 15, dass man zum Beispiel fragen kann, was Institutionen oder Firmen für Daten über einen haben. Oder halt das Recht, dass man es berichtigen kann und sowas. Also Einzelpersonen kriegen mehr Rechte und Institutionen und Firmen kriegen mehr Pflichten. Also dass es da so nen, irgendwie so nen Wechsel gibt und müssen vielmehr drauf aufpassen und genau. Also nach dem 25. Mai 2018 zum Beispiel sind dann auch so diese ganzen Cookie-Banner oder sowas viel mehr geworden, was man immer bestätigen muss. Oder es gibt auch manche Seiten, also vor allem amerikanische Seiten, die man halt in der EU jetzt nicht mehr aufrufen kann, weil die halt gesagt haben, dass sie das nicht umsetzen, weil man das umsetzen muss, wenn man europäische Bürger bedient. Genau, hat vielleicht dazu noch jemand was? P: Ja, ich könnte noch kurz was sagen, und zwar welche Ansätze die DSGVO verfolgt, weil das ist ganz interessant, die verfolgt so, im Prinzip gibt's drei Säulen; als erstes sagt die DSGVO, dass die Leute die Daten verarbeiten, personenbezogene Daten, dass die selber erst mal für die Sicherheit und für den Datenschutz sorgen müssen. Da gibt's auf Englisch ist hier das Schlagwort Privacy by Default und Privacy by Design, also Datenschutz als Standardeinstellung und Datenschutz aber eben auch durch die Technik-Gestaltung. Also ich muss halt eben, wenn ich jetzt neue Software entwickle dafür sorgen, dass die möglichst Datenschutz freundlich ist. Da müssen dann halt meine eigenen Interessen zurückstehen. Das zweite sind eben die eben schon erwähnten Betroffenen-Rechte. Die sorgen halt dafür, dass ich als Betroffener noch mein Datenschutz selber in die Hand nehmen kann und dafür sorgen kann, dass eben der Datenschutz durchgesetzt wird. Und ich sehe inzwischen ne Frage, dass Leute gefragt haben, wie man das als Entwickler einfacher macht, Datenschutzgesetze einzuhalten. Ich habe dazu wollen wir nachher noch was sagen. Aber grundsätzlich ist es so, dass man halt auch eben als Benutzer auf einer Webseite oder als Benutzerin dafür sorgen kann, dem man hat eben seine Datenschutzrechte, also so Auskunft und Löschung, Berichtigung und sowas nutzen kann. Und das dritte ist, dass eben es auch Haftung und Geldbußen und sowas gibt. Es sind immer diese gefürchteten Millionen Bußgelder, die die Aufsichtsbehörden verhängen können, was eben dazu sorgt, dass die DSGVO notfalls auch ich sage mal Datenschutz mit der Brechstange durchgesetzt wird. D: Ah sorry, genau. Kleine Anmerkung da noch, wir reden jetzt ja immer die ganze Zeit über Digitales, und Datenschutz ist im Digitalen ja auch total wichtig und total weit verbreitet. Aber Datenschutz ist genauso - die DSGVO vor allem - die gilt genauso in der analogen Welt. Das heißt, die gilt genauso, wenn ich irgendwo ein Formular vor Ort ausfülle. Und das ist immer auch total wichtig zu beachten, dass es im Datenschutz auch so eine total wichtige Schnittstelle zwischen der analogen und der digitalen Welt ist. Genau. luap hat das gerade ganz gut formuliert. Die ist Technik neutral. Das heißt, es ist völlig egal, ob ich da jetzt was Digitales, was Analoges, ob ich da ne Diskette oder WLAN verwende. Datenschutz gilt immer, weils einfach eine Grundverordnung ist, die überall gilt und was total wichtige Grundsätze vermittelt. L: Das stimmt. Das ist, finde ich, ein total wichtiger Punkt, wo wir vielleicht auch schon, also wir dachten, wir reden so ein bisschen über zwei große Themen. Das eine ist irgendwie so, also wir dachten, es ist für Jugendliche vor allem dann so was beschäftigt uns, irgendwie Schule und Programmieren. Und deshalb wollten wir einmal so auf den schulischen Aspekt eingehen. Genau. Und wie Datenschutz in der Schule unserer Meinung nach umgesetzt wird und so den ganzen Aspekt. Und dann einmal so Ich als programmierende Person sitze bei Jugend Hackt und möchte irgendetwas machen. Worauf muss ich achten? Was hab ich da für ne Verantwortung? Genau. P: Ich glaub, Liv, du hattest doch jetzt auch ein paar Sachen mit Schule, willst du da mal anfangen? L: Kann ich gerne machen. Genau. Ich meinte nur Schule, weil ich dachte, dass ne Schule ja noch vieles analog passiert. Und z.B. glaube ich, könnte man auch Auskunft über seine ganzen Arbeiten, die müssen ja auch aufgehoben werden. Ich weiß gar nicht wie lange, relativ lange und auf jeden Fall. Ich glaube, dass man die theoretisch könnte man sich auch sozusagen erfragen, ist halt viel zu großer Aufwand, deshalb können die einfach nein sagen. Bzw. genau. Aber da ist dann ja auch noch eine Sache, wo es dann halt analog ist und wo man auch sich fragen kann, ob das alles so Datenschutz konform ist. Wenn es dann irgendwo in nem Keller liegt. Aber genau dann fang ich mal an. Ich hab eine; ich hätte noch ne kleine kreative Attacke vor ner Stunde und hab was versucht zu zeichnen. Genau das könnte jetzt auch mal einblenden, dass ist nicht besonders hübsch geworden. Aber hier was ihr sehen könnt ist so ein tolles Kuchen Diagramm, was zeigt, wie viele der DSGVO Anfragen, die ich an verschiedene Schulen und Bildungseinrichtung gestellt habe, erfolgreich waren. Ich hatte leider jetzt irgendwie keinen Geodreieck oder so. Zimtgrün soll ein Fünftel sein. Ich hab 5 gestellt. Eine davon hat wirklich funktioniert. Das soll das Grüne darstellen. Das Rote soll das darstellen, was nicht so gut funktioniert hat. Genau, wie ich das gemacht habe, es gibt ne Seite, die heißt "Daten anfragen", da kann man sich so ein tollen Text copy pasten und kann dann da hinschicken, können das bisschen personalisieren, was man möchte. Und genau das hab ich einfach mal gemacht. Das hab ich an eine Uni und an drei Schulen, zu denen ich gehe, gemacht. Genau. Und ich habe sozusagen eine meine richtige Schule besucht. Dann noch Kurse an zwei anderen Schulen, die natürlich auch die Daten über mich speichern. Und dann hab ich noch an das Kultusministerium von meinem Bundesland geschickt. Genau. Und wir fangen jetzt erst mit dem positiven Beispiel an.. Aber genau es ist wunderhübsch geworden. Ich hoffe, ihr seid mir nicht zu wütend, dass sie mich nicht so hübsch geworden ist. Aber genau. Also sehr, sehr vereinfacht der Prozess, genau an der Uni, was man ja macht sozusagen. Man schreibt eine E-Mail, schreibt da rein. So ein bisschen kondensiert. Hallo, welche Daten haben Sie über mich? Und dann ist das richtige, was Sie machen sollen, ist, dass Sie nachgucken, ob das auch wirklich ich bin, der es gestellt hat. Sonst könnte ja einfach jede Person sagen Hallo, ich bin Liv, Ich hätte mal gern Livs Daten. Das wäre ja suboptimal. Also bei der Uni hat das perfekt geklappt. Ich hab meinen Personalausweis geschwärzt dahin geschickt und die haben mir meine Daten zurückgeschickt, genau so wie es sollte. Also 10 out of 10. Das funktionierte gut. Das war leider aber auch das einzige Erfolgserlebnis. Genau wenn wir erst mal weitergehen. Genau wie Schule 1, Schule 1 hat auch würde ich sagen können die Schulen am besten abgeschnitten noch. Ich hab auch geschrieben: "Hallo, welche Daten haben Sie über mich?" Das ist übrigens nicht meine Hauptschule, nicht Hauptschule aber nicht meine sozusagen erste Schule. Genau die wollten einen Personalausweis. Kann sagt in der Pause mit meinem Perso vorbeikommen. Das okay, das verstehe ich. Genau. Was Sie mir dann gegeben haben. war so ein Zettel auf dem nur stand, was für Arten von Daten Sie von mir haben, aber nicht, welche Daten Sie wirklich haben. Also sie haben geschrieben, wir haben deinen Vorname, deine Adresse und deine Noten. Aber ich meine, der Sinn von DSGVO ist ja auch, dass ich weiß, was genau sie haben, damit ich es korrigieren kann. So hab ich keine Ahnung, was die da wirklich gespeichert haben und kann's ja nicht korrigieren. Aber ich dachte, dass es noch so ein bisschen am Ziel vorbei, aber es ist okay. Also so vielleicht acht von zehn. Aber oh, schön, es gibt Lob für die Zeichnung. Dankeschön. Dann gibt's Schule 2. Schule 2 ist auch nicht meine richtige Schule und Schule 2 habe ich auch genau die gleiche E-Mail geschickt. Wollte wissen, was sie für Daten über mich haben. Zurück kam, "wir kennen dich nicht, und selbst wenn, du weißt ja wohl selber, welche Daten du angeben hast". Du musstest ja wahrscheinlich ein Formular ausfüllen. Daraufhin hab ich dann geantwortet, dass ich dort den und den Kurs besuche bei dem und dem Lehrer. Und dann kam zurück. Ja gut, aber du weißt ja selber, wo du wohnst. Auch nicht ganz der Sinn von DSGVO. Ja, ich würde sagen, das fande ich so ein bisschen merkwürdig, weil alle also allen Schulen, denen ich geschrieben hab, haben eine beauftragte Person für Datenschutz, ich dachte, die würden sich vielleicht ein bisschen besser auskennen. Also genau, danach war ich irgendwie sehr verwirrt. Aber genau es gab je nach Schule 3,.. P: Kann ich dazu eine Frage, gleich ne Frage stellen, und zwar hast du dann irgendwas danach gemacht, als du so ne Antwort bekommen hast oder hast du gesagt, ich lasse es jetzt, ich spar mir die Mühe oder? L: Soll ich's? Ich beantworte es mal gleich nachdem ich noch Schule 3 vorgestellt hab und das danach, weil da hab ich auch ganz viel drüber nachgedacht. Genau das ist dann meine richtige Schule. Da wollte ich dann einfach mal so fragen, was sie für Daten über mich haben. Und mein Lehrer, also mein Informatik-Lehrer ist dort Datenschutzbeauftragter und der hat gesagt, dass er leider im Moment keine Zeit hat. Genau, warum ich nicht weitergemacht habe, erzähle ich euch auch gleich. Aber das war leider das Traurigste, sodass gar nichts rausgekommen. Genau. Und dann gibt es noch mein fünfter Versuch. Der ist dann beim Kultusministerium, weil ich da persöhnlich mal aktiv war. Und genau, hab genau die gleiche E-Mail geschickt und hab dann einfach meine Daten zurückbekommen ohne Identifikation. Was ich persönlich ein bisschen merkwürdig fand. Also das PDF war passwortgeschützt mit dem Datum, an dem ich es bekommen habe. Aber. Ich meine, es hätte ja jeder schreiben können: Hallo, ich bin Liv. Ich hätte gerne meine Daten und hätte dann meine komplette Anschrift, mein Geschlecht, meine Handynummer, mein vollständigen Namen. Und eigentlich auch die Herkunft der Daten bekommen. Also da hatte ich ein bisschen Bauchschmerzen, als ich die Antwort bekommen habe. Und genau ich wollte jetzt nicht so gerne sagen, welches Bundesland das ist, weil es da eine Person gibt, die dafür zuständig ist. Und ich glaube, da kommen wir auch schon so; Warum mich dann nicht mehr gemacht habe. An der Schule finde es einfach schwierig, weil ich sozusagen; meine Note hängt ja von den Lehrern ab und würde ich da so sehr, wenn ich könnte, dagegen ja vorgehen. Das ist ja nichts recht. Es ist nicht rechtmäßig, was die gemacht haben. Aber die Frage ist, dass ich dort irgendwie Abitur machen möchte und schon ging mir das jetzt nicht so kaputt machen möchte. Genau. Beim Kultusministerium hab ich auch drüber nachgedacht. Aber ich finde es schwierig. Weil es eine Person ist und ich nicht weiß, wie genau. Also ich möchte nicht, dass die Person jetzt ihren Job verliert. Aber sowas ist ja irgendwie ein blöder Fehler. Aber ich finde, es ist eigentlich schon nicht unwichtig. Genau deshalb hab ich da halt nicht weitergemacht. Falls aber jemand Ideen hat, wie man das so zu sagen weitermachen könnte oder irgendwie so. Ich hab, binjetzt auch nicht so auf Konfrontation aus. Es war für mich wirklich eher so ein kleines Projekt. Mal gucken, wie funktioniert das überhaupt? Und ich will auch keine Schule da jetzt irgendwie schlecht darstellen oder sowas. Und ja, das war für mich eher so ein privates Projekt, so ein kleines. Aber. Genau. Also ich finde es zeigt einfach, dass es vielleicht ein strukturelles Problem ist, dass die Schulen es auch einfach alleine nicht hinkriegen. Und das ist nicht die Schuld von den Lehrer:innen ist, aber, dass der einfach ich vom Land sehr viel mehr getan werden muss, dass die Schulen da Unterstützung kriegen, weil es ja anscheinend nicht funktioniert und auch man selber nicht. Aber genau das ist so ein bisschen das, was ich gemacht habe. D: Ja 'n total cooles Projekt finde ich und ich finde es gibt uns auch schon ziemlich viel Erkenntnis darüber, wie Datenschutz im Alltag tatsächlich funktioniert und in Schulen ich mein, da sind wir alle von betroffen. Alle jüngeren Leute, wahrscheinlich das meiste Publikum dieses Talks hier und was noch weiter so schief läuft, gerade im Bezug auf Bilder und auf Videoüberwachung, was ja total sensible Daten sind. Ich meine, damit kann mensch ja total einfach Leute identifizieren. Da hat Paul auch ein total interessantes Projekt mit Bahn, mit der Bahn gemacht. Was da so schief läuft. Vielleicht kannst du das einmal vorstellen, Paul? P: Ja, gerne. Und zwar ein leidiges Thema, das auch jedes Jahr auf diesem Kongress Gegenstand ist. Von entweder Vorträgen oder Schill-, okay, dieses Jahr mit den Schildern ist es nicht so super, aber so Zetteln an der Wand. Das Problem ist immer, man wird über-. Es wird viel mehr videoüberwacht. Alles mögliche soll videoüberwacht werden und die Frage ist dann auch immer, ob das immer notwendig ist. Ich meine an Bahnhöfen wird videoüberwacht und ich sehe dann mal so einen Zettel. Kennen Sie diese Person? Und das Bild ist in total niedriger Pixel Qualität. Weiß nicht, was es dann bringt, ob das etwas bringt. Aber es wird immer ziemlich bezweifelt. Aber jedenfalls das Problem mit viel Video-Überwachung ist, dass die die ganzen Daten bekommen und wir aber eigtlich die nur eingeschränkt überprüfen können, weil man kann in der DSGVO immer Datenverarbeitung damit begründen, man hat ein berechtigtes Interesse daran. Das heißt es liegt an irgendetwas daran und es ist auch schon irgendwie ein bisschen wichtiger als das Interesse, dass die Daten nicht verarbeitet werden. Und damit kann man sie mal ganz gut bei dem Thema Überwachung, das begründen und das kann man dann halt nicht so gut überprüfen. Und da hatte ich dann neulich, als ich mit der S-Bahn gefahren bin in Berlin. Da stand plötzlich in einem der Züge so ein Zettel, ja, Alles wird videoüberwacht. Dann hab ich mir die Zugnummer aufgeschrieben und so ein paar seltsame Gesten gemacht, so gezeigt, so da hier auf das Zettel mal überwenkt und gewunken. Und habt ihr dann irgendwie 2 Stunden später eine E-Mail geschrieben, ja, schickt mir doch mal bitte meine Daten. Ihr könnt mich daran identifizieren, dass ich das und das gemacht habe. Ich hab so eine Maske getragen. Also eigentlich alles, um mich zu identifizieren, weil es auch eher unwahrscheinlich ist, dass eine andere Person genau die gleichen Sachen macht. Und dann ist es so, das stand auch noch dabei, dass es innerhalb von achtundvierzig Stunden gelöscht wird, automatisch und dadurch gesagt, ja, man kann so verlangen, dass das eben, das heißt Verarbeitung einschränken. Also man kann sagen, ja, verschließt das Mal, sorgt dafür, dass es nicht gelöscht wird. Und die so, nöö, sind überhaupt keine personenbezogenen Daten. Und außerdem geht es nicht Sicherheitsinteressen blabla andere Interessen. Und dann, das ging tatsächlich sehr schnell, muss ich sagen. Das fand ich gut, dass ihr; dass die da innerhalb von irgendwie ein paar Stunden geantwortet hatten. Das Problem war dann nur, ich hab dann zurückgemeldet und gesagt naja, es war schon personenbezogene Daten, weil man kann mich damit identifizieren, wenn man z.B. weiß, dass ich so eine Maske trage und so so so. Und dann. Außerdem müsst ihr mir das dann rausgeben und Sicherheitsinteresse stimmt auch nicht so ganz. Weil erstens, wir wissen ja alle oder ziemlich viel wissen, dass Security by Obscurity nicht so richtig was bringt. Und zum anderen ist es auch so, dass D: Ganz kurz. P: Ja. D: Dazu vielleicht kannst du auch einmal nochmal erklären, was Security by Obscurity ist. Das wissen vielleicht nicht alle unsere Zuhörer:innen P: Genau gerne. Also Security By Obsucrity heißt im Prinzip wenn ich was verschlüssele oder geheim halten will, dann soll ich nicht geheim halten, wie das funktioniert. Also des Verschlüsselungsverfahren, sondern nur den Schlüssel. Also im Prinzip könnte man sich bei einer Haustür vorstellen, ich soll mein Haus nicht dadurch verstecken, dass ich mein Haus geheim halte, sondern dass ich einen Schlüssel habe, den niemand anderes hat. Und das funktioniert halt eben. Es ist halt so ein relativ grundlegender Grundsatz von Sicherheits- Technologie. Und außerdem ist es so, dass in vielen Supermärkten ja immer man teilweise noch sieht, ein Live-Stream der Videoüberwachung. Das heißt, es kann auch nicht so das Problem sein und dann hab ich das jetzt geschrieben und das ist jetzt aber, da haben die dann irgendwie ein paar Wochen später darauf geantwortet. Und jetzt habe ich inzwischen mich bei der Landesbeauftragten für Datenschutz beschwert. Kann man nämlich machen, wenn man der Meinung ist, die Daten werden unrechtmäßig verarbeitet oder von Betroffenrecht wird verletzt, dann kann man sich beschweren und dann ermitteln die und es kann dann auch Geldbußen geben. Und wenn man will, kann man danach auch klagen oder sowas. Aber ja. Aber das ist jetzt erstmal noch nichts weiter. Aber dann noch erstmal zurück zum Thema Schule. Jetzt gerade ist ja so, dass man viel online Lernen und sowas hat über verschiedene Technologien. Ja, der ganze Rest ist ja online und die, viele Schulen verwenden ja Software, die nicht ganz so Datenschutz konform ist oder die Probleme bereitet und nicht Open Source ist. Und Dфҿ, du hattest ja dich mit Zoom beschäftigt, willst du dazu was erzählen? D: Ja, genau. Also Zoom ist ja total populär geworden seit Anfang des ersten Lockdowns, gerade in Schulen und in Unternehmen wird es total viel zu Videokonferenzen verwendet, genauso wie andere Software, die mindestens genauso fragwürdig ist. Und wir hatten mal in der Jugend Hackt Community online darüber diskutiert, wie der Datenschutz bei Zoom ist. Und daraus hab ich dann mal einfach den Entschluss gefakt, gefasst. Ich frag da mal an, ich bin von der Schule aus verpflichtet, Zoom zu verwenden. Ich frage mal an, was die über mich haben. Die Reaktion war gar nichts. Sie haben erst einmal nichts gemacht. Ich habe die mehrfach daran erinnert. Ich glaube, zwei Tage vor der, vor dem Ablauf der 30 Tages Frist auf die Antwort nach Artikel 15 haben Sie mir geantwortet, und eine Kopie der Datenschutzerklärung geschickt. Das ist natürlich überhaupt keine valide Anfrage. Ich hab nämlich nach sehr speziellen Punkten gefragt. Ich hab gefragt, ob Daten von mir dauerhaft gespeichert werden, wenn ich an einem Meeting teilnehme auf Zoom. Ob die End-zu- End Verschlüsselung, also ich wusste, dass sie nicht existent ist, obwohl es genannt wird. Ob die existiert? Darauf sind sie nicht eingegangen und ich hatte gefragt, ob die Daten, die sie speichern von mir eventuell wie Logging Daten von Clarifying Lawful Oversea Act, vom sogenannten US- Cloud Act betroffen sind. Auf keinen der Fragen haben sie geantwortet. Halte ich auch nicht erwartet. Ich hab ihn dann noch geschrieben. Ich, dass Sie bitte die letzten 2 Tage, die sie noch Zeit haben, das bitte beantworten sollen, haben sie nicht gemacht. Danach hab ich das an den zuständigen Landesdatenschutzbeauftragten gegeben. Der hat das nach ich glaube 3, 3 mal nachhaken hat er das angefangen zu bearbeiten. Und ich habe irgendwann eine Antwort bekommen von Zoom und die war: Sie können nichts dazu sagen, weil sie von mir keine Daten haben. Ich könne nur eine Anfrage stellen, wenn ich einen Zoom Account hätte. Das ist erstmal per se falsch, weil Daten auch ohne Account von mir verarbeitet werden. Das ist natürlich ein Skandal. Da habe ich zurück an den Landes- Datenschutzbeauftragten geschrieben, der meinte ja, sie geben das gerne mal weiter und werden sich persönlich da nochmal erkundigen. Rund eine Woche später hab ich eine Antwort von denen nochmal bekommen, also vom Landesdatenschutzbeauftragten. Ja also, sie können das jetzt erstmal nicht weiter bearbeiten. Sie wissen einfach nicht, wer in der Europäischen Union für die Beantwortung der Anfrage zuständig ist. Sie wussten nicht, ob Sie das jetzt. Also Sie sind auf jeden Fall nicht zuständig, konnten Sie mir sagen. Aber sie waren sich jetzt nicht sicher. Es ginge darum, ob die französische, die niederländische Niederlassung zuständig für meine Anfrage ist. Und Sie konnten sich einfach nicht entscheiden, ob die niederländische oder die französische Niederlassung von Zoom, und dem die entsprechend französischen oder niederländischen Behörden für meine Anfrage zu Verständ-, zuständig sind und haben dementsprechend erst mal nichts gemacht. Währenddessen hab ich mich noch weiter beschwert bei Zoom, und dann haben sie mir irgendwann auf meine erste Frage, ob das nämlich alles verschl- Ob das alles verschlüsselt ist. Da steht ja zu Ende-zu- End Verschlüsselung oben drin. Das habe ich im März habe ich das in der Anfrage formuliert. Da haben Sie mir gesagt Ja, seit August wäre End-zu-End Verschlüsselung verwendet und dementsprechend ja, alle meine Daten seien verschlüsselt worden. Das klingt ja ganz toll. Nur leider haben Sie mir im August geschrieben, dass seit August Verschlüsselung ist. Und meine Frage aus dem März, ob das verschlüsselt ist, haben Sie mit Ja beantwortet, obwohl Sie da gerade gesagt haben - nee, meine Daten von damals wurden gar nicht verschlüsselt. Und das ist ein Skandal, dass mir so geantwortet wird. Ja, das ist jetzt beim Bundesdatenschutzbeauftragten gelandet. Da war die Antwort sie sind nicht zuständig. Und jetzt warte ich, bis ich mal Zeit habe. Und ich habe vor, das auf jeden Fall vor Gericht zu bringen, weil ich finde, so ein Verhalten, das er seit mehreren Punkten klar Verstöße gegen Artikel 32 bis 34, gegen Artikel 15. Ja, und das ist ein absolutes No-Go! L: Genau, du hast uns ja gerade schon nochmal angesprochen so. Also ich meine, das ist ja schon ziemlich erschreckend, dass du das in der Schule irgendwie benutzen musst. D: Jetzt nicht mehr. L: Und es aber diese Lücken auch gab. D: Hat was gebracht. L: Bin ich sehr glücklich. Ich habe von Anfang an haben wir uns Big Blue Button, und es ist besser, genau. Und nochmal mit Schule. Da hat doch eine Person auf Twitter geschrieben, dass eine Sicherheitslücke irgendwo in einem System der Schule gefunden hat, womit man die Namen aller Schüler nachschauen konnte, die sitzengeblieben sind, und das dann die Personen zu dem Software-Hersteller gegangen ist, und das bekannt war und das war ein Sonderwunsch des Schulträgers war und das dann Datenschutzbeauftragte der Schule meinten, das ist legal und richtig so. Ich finde das zeigt ja auch nochmal, wie viel Arbeit noch in Schulen gemacht werden muss. Und total gut aber, dass du dich dafür dann so einsetzt. Ich meine, das ist ja auch nicht selbstverständlich. Da gibt es ja dann auch viele Schüler:innen die sozusagen einfach nur mitmachen müssen und halt nicht das richtige Know-How haben, sich vielleicht wirklich sozusagen dagegen zu wehren, wie du das jetzt gemacht hast. Also ich finde, das ist sehr gut, dass du das gemacht hast. D: Genau. Ich finde, das zeigt, dass ist natürlich total schlimm ist, dass diese ganze Problematik gerade in Schulen gibt, wo total sensitive Daten wie Leistungsdaten von Schüler:innen verarbeitet werden. Das ist ein Problem, dass es diese Problematik da gibt. Natürlich. Aber ich finde, das ist ja genau. Paul sagt gerade Kinderdaten, es ist ja nicht von irgendwem, sondern von Kindern, die ja eigentlich schützenswert sind. Aber es ist gar nicht das zugrunde liegende Problem. Ich persönlich sehe das zugrunde liegende Problem viel tiefer, und zwar darin, dass die Informatik in Schulen völlig veraltet ist. Die Lehrer:innen sind häufig gar nicht qualifiziert und der Datenschutz wird häufig an irgendwelche Lehrer:innen abgetan, die keine Ahnung davon haben. Ah, und das in Kombination mit sowieso schon schlecht qualifizierten Informatik Lehrkräften vielerorts in Deutschland und generell ein geringen Stellenwert von der Informatik in Schulen. Das ist ein Riesenproblem und vielleicht da hab ich, ich habe auch die Hoffnung, dass sich das vielleicht irgendwie wann ändern wird, und dass dann das eben der Datenschutzthemen mit einher gehen wird. P: Ja, jetzt zu dem konkreten Fall. Ich weiß gar nicht, ob man das jetzt aus Datenschutzgründen vorlesen darf. Nein. Also da ging es darum, dass Lücken die Namen der sitzengebliebenen Schüler verraten haben und dann wurde anderen noch bedroht. Das geht natürlich gar nicht. Es kann tatsächlich sogar teuer werden. Ich weiß jetzt nicht, ob das jetzt der Fall für die Person, die das gefragt hat, schon abgeschlossen ist, aber ich. Mein Tipp wäre sich bei die oder der dann, also der oder dem Landesbeauftragten zu beschweren. Die müssen einem eigentlich auch innerhalb von drei Monaten antworten, sonst kann man sich da auch nochmal. Kann man da gegen auch nochmal vorgehen. Weil so was kann teuer werden, weil hier in der DSGVO drinnen, personenbezogene Daten müssen geschützt werden und wenn die unbeabsichtigt weitergegeben werden, dann müssen auch die betroffenen Personen informiert werden. Also das ist, das sollte man. Da kann man sich dann gut beschweren. Und genau hier hat, wurde auch hingewiesen, jemand. Man kann auch den CCC oder Jugend Hackt konsultieren. Ich denke, die können da auch vermitteln, was man da machen soll. Aber Beschwerde bei der Landesbeauftragten hilft sicher. Und wenn die einem dann blöd kommen mit, wir schmeißen dich raus oder sowas, dann kriegen die nur noch mehr Ärger. Also es geht einfach nicht. L: Genau. Eine Sache noch, genau ich hab mir ja schon gesagt, ich wa so bisschen so Landesschulbehörde aktiv. Und dort saß ich auch in so nem Ausschuss. Und was daran war, ist, dass auch das war, es muss 2018 gewesen sein, so kurz nachdem die dann wirklich so in Kraft getreten ist. Und da wurde dann drüber diskutiert, was denn personenbezogene Daten in der Schule sind und was davon besonders schützenswert ist. Und das fand ich so überraschend, dass da - wir saßen da alle in einem Raum, da waren dann noch Vertreter von dings, von religiösen Gemeinden und so, also generell, das war so ein, ähm, so ein, einfach so ein großes Treffen, Urbach, der Kultusminister anwesend war. Und das fand ich einfach sehr, sehr erschreckend, dass das irgendwie da diskutiert wurde, und dass das noch gar nicht so so sicher war. Also zum Beispiel Religionszugehörigkeit wird ja auch in der Schule gespeichert, damit man den passenden Religionsunterricht angeboten bekommen kann. Und das sowas, ist ja auch irgendwie personenbezogene Daten und auch sensitive Daten. Meine Religionszugehörigkeit kann mich ja für bestimmte Sachen vielleicht angreifbar machen. Und das fand ich total erschreckend irgendwie, dass das so offen gelassen wurde. Genau. Und ich glaube, was wir hier grade schon jetzt die ganze Zeit angesprochen haben, war dieses Konfrontation-Sachen, also wie geht man damit um, wenn was falsch läuft? Habt ihr beiden da vielleicht Ideen, weil ich bin ja selber in der Position, wo ich sage ich. Ich weiß nicht, wie ich damit umgehe, Dфҿ mit dem Zopf, du bist ja sehr offensiv da, aber ja, ich find's. Ich find's schwierig, vor allem wenn man jugendlich ist und vielleicht unter 18 und nicht richtig weiß, wie man sich wehren kann. D: Genau so, bei Schulen hab ich da ne ganz schlechte Erfahrung. Ich hatte auch schon in anderen Punkten mit verschiedenen Schulen und verschiedenen Behörden um die Bildung herum Auseinandersetzung mit Datenschutz, da ist Konfrontation natürlich extrem schwierig. Weil das am Ende die Leute sind, die dir deine Zeugnissnote geben. Und natürlich werden die nicht sagen, du hast eine Anfrage über Datenschutz gestellt, du hast dich beschwert, wir geben dir eine schlechtere Note, aber das ist natürlich so eine unterschwellige schlechte Stimmung, die da entsteht. Das heißt, ich würde eher empfehlen, immer freundlich zu reagieren und zu sagen, hm ey, ihr Lieben, hier läuft irgendwas nicht ganz richtig. Könnt ihr das nicht so und so machen? Das wäre irgendwie besser. Damit seid ihr auf der sicheren Seite. Also irgendwie eher so Hilfe anbieten und zu sagen, so könnte man es verbessern, als zu sagen: Hey, das ist alles total falsch. Und wenn ihr es mit einer doofen Firma zu tun hat, würde ich da tatsächlich vorschlagen, auf Konfrontation gehen. Es kann, die meisten Firmen spielen auf Zeit. Aber wenn ihr denen zeigt ihr seid hartnäckig, dann tun sie meistens am Ende, was ihr wollt. Aber es kann natürlich Monate oder bei meiner Sache z.B. jetzt schon fast ein Jahr dauern und man kommt nicht unbedingt immer weiter. Vielleicht können wir damit zur nächsten Frage weitergehen. Irgendwer hatte doch im Chat reingeworfen, ja einfach die Fälle alle an nen Abmahn- Anwalt geben. Was haltet ihr davon? Findet ihr das richtig, findet ihr das falsch, findet ihr, das sollte man machen. Vielleicht Paul hast du dazu ne Meinung? P: Ja, Abmahnanwälte. Das war mal so ein bisschen so eine Furcht, die alle hatten, als die DSGVO in Kraft tritt. Jetzt gibt's gleich tausende Abmahnanwälte und das Problem ist auch immer, man kann gar nicht immer abmahnen. Da muss man nämlich irgendwie. Es gibt entweder Verbraucherschutzorganisationen, Verbraucherzentrale und sowas, da lohnt es sich tatsächlich, weil die ja auch auf systematische Probleme besser hinweisen. Und das andere ist so klassische Abmahnanwälte, die nach Fehlern suchen. Das ist, finde ich tatsächlich problematisch, weil ich die generell ein bisschen zwielichtig halte. Wo vermehrt sich Abmahnung - nein ähm Hass(?) nein. Aber generell muss man natürlich schon gucken. Also ich. Es ist wahrscheinlich immer sinnvoll, sich bei der oder dem Landesbeauftragten zu beschweren bzw. wenn er zuständig ist beim Bundesbeauftragten. Die sind dort sehr kompetent, haben auch eben die entsprechenden Mittel um das durchzusetzen. Notfalls halt mit Bußgeldern. Da ist man eigentlich immer auf der sicheren Seite. Es dauert dann halt ein bisschen, man hat nicht wirklich den Einfluss, aber die können auch dafür sorgen, dass das man eben, dass man eben das notfalls durchgesetzt wird. Also da muss man eben nicht darauf vertrauen, dass die am Ende nachgeben. Und ansonsten, wenn man überlegt, wenn man sich das lohnt, kann man sich auch natürlich selber einen Anwalt holen und klagen, was dann natürlich noch aufwändiger ist. Wobei man da z.B. aber auch relativ gut Schadensersatz wollen kann. Da gibt's auch inzwischen einige gute Entscheidungen dafür, auch wenn's noch nicht ganz klar ist mit Schadensersatz. Ja, Liv wollte glaube ich noch was dazu sagen. L: Genau. Ich finde, es ist irgendwie ein ganz schwieriges Thema, weil auf der einen Seite möchte man ja irgendwie, dass sich das ändert und dass es irgendwie für alle gut läuft und vor allem, dass es nicht nur für die ganzen technikaffinen Leute irgendwie einfach ist. Aber gleichzeitig finde ich es irgendwie schwierig, so eine Person. Also wenn ich hier so zum Beispiel ich meine im einen Fall weiß, ich ist eine Person, die diesen Fehler gemacht hat, so und dann möchte ich auch nicht dafür verantwortlich sein, dass die Person dann irgendwie davon irgendwie sowas blödes mit trägt. Also das empfinde ich das ganz schwierig und ich glaube, was ich eher machen würde ist, dass ich vielleicht der Person selber schreiben würde. Genau. Also ich finde das. Ich finde das ganz schwierig, weil ich find, auf der einen Seite steht so dieses, es soll besser werden und die, es ist ein Gesetz, und die haben da eine Verpflichtung zu und auf der einen Seite ist so dieses, sind ja auch nur Menschen, aber wer auch eine Verpflichtung hat, sind ja Programmierende, vor allem auch bei Jugend hackt. Und ich glaube damit kennt sich Dфҿ mit dem Zopf gut aus. D: Genau. Da war ja, so kam auch im Chat die Frage: Wie können wir selbst damit umgehen, wenn wir irgendwie als Hacker:innen, als Nerds irgendwie unsere kleinen Sachen entwickeln? Und da ist, finde ich, immer der erste Satz: Erst mal überlegen was für Daten brauche ich überhaupt, wenn ich irgendwie eine kleine App baue, wo ich mich anmelden kann? Brauche ich eine E-Mail-Adresse oder reicht es, wenn ich mir einfach nur einen Benutzer:innennamen gebe und ein Passwort? Dann habe ich gar keine personenbezogenen Daten außer dem Passwort und dann ist es sehr viel einfacher, das zu schützen und so weiter. Das heißt, was ich damit sagen will, Privacy By Default und Privacy by Design, also erst mal die Anwendung so entwickeln, dass sie so wenig Daten wie möglich überhaupt braucht und auch gar nicht die Möglichkeit bietet, unnötige Daten, also z.B. Geschlecht, Alter, Nationalität, das sind Daten, die kann man eigentlich immer weglassen, vielleicht bevorzugte Sprache. Das kann sinnvoll sein. Aber selbst das braucht man häufig gar nicht. Viel wichtiger ist dann auch die Dinge, die zu verarbeiten, oder mindestens genauso wichtig ist es, die Dinge, die auf jeden Fall verarbeitet werden müssen, zu minimieren. Also z.B. einfach mal nicht standardmäßig die IP Adressen auf den Webservern speichern von den Leuten, die es besuchen, automatisch Posts z.B. in eine Chat App nach zwei Wochen löschen oder generell alle Logging Daten löschen, personenbezogene Daten verschlüsseln. Also in der Datenbank, wo Daten gespeichert werden irgendwie alles mit Passwort verschlüsseln, was nicht für andere zugänglich sein muss. Somit habt ihr ganz eine minimale Angriffsfläche und gewährleistet eben auch diese geforderte Datensicherheit. Das heißt einfach, würde ich sagen, immer minimieren, was wir machen müssen. P: Genau da würde ich nämlich auch sagen das Wichtigste ist eigentlich erstmal, dass man eben sagt, dass man. Also Datenschutz ist grundsätzlich erst mal Datensicherheit, also dass man Daten, die man hat, sicher verarbeitet. Das heißt eben verschlüsselt, sichere Transport Kanäle nutzt. Also vielleicht habt ihr's mitbekommen, es gab jetzt ja vor ein paar Wochen so ein Bußgeld. Irgendwie 900 000 Euro gegen 1&1. Das lag nicht daran, dass die irgendwelche seltsamen Sachen gemacht haben, irgendwelche kryptischen Vorschriften gegen die, die verstoßen haben, sondern die haben einfach nur dafür gesorgt, dass andere Leute, die dazu nicht befugt sind, auf die Daten zugreifen können. Und das heißt, das sind eben solche grundlegenden Sachen, dass man erstmal dafür sorgt, dass die Daten gesichert sind. Und das Zweite ist dann eben, dass man vermeidet, personenbezogene Daten zu verarbeiten. Das heißt auch nicht, dass man nie welche verarbeitet darf, sondern immer nur, ist es notwendig und wenn ja, dann kann man sie verarbeiten. Und sind die Daten überhaupt geeignet? Also jetzt zum Beispiel hat jemand beschrieben, dass das mit dem Usernamen Namen guter Ansatz ist, aber wenn man ohne Verifizierung Account erstellen kann, ist das auch nachteilhaft. Genau das ist halt eben so. Das ist immer eine Abwägungssache, kann man jetzt. Man kann nicht pauschal sagen, die Daten sind gut, die sind schlecht, sondern man muss halt immer sagen brauche ich diese Daten, weil z.B. für jetzt eine Webseite, die nur privat oder sowas ist, wo jetzt nichts ist, braucht man vielleicht keine Verifizierung. Andererseits gibt's Webseiten, wofür man eine Verifizierung braucht. Das heißt, es hängt immer komplett davon ab, was man jetzt gerade haben will. Und ja, das sind im Wesentlichen die wichtige Sachen, dass man's minimiert. Und dann gibt's noch so ein paar seltsame Sachen, man muss so eine Datenschutzerklärung hinschreiben, was auch nicht so schwer ist, es klingt immer so, als ob das total viel Aufwand ist. Aber man muss im Prinzip nur schreiben, welche Daten man verarbeitet, wofür und welche Rechtsgrundlage das hat, gibt es eigentlich im Wesentlichen nur "ist für die Verarbeitung notwendig", "Ich hab ein berechtigtes Interesse" oder die Person hat explizit eingewilligt, wobei Einwilligung auch wieder schwierig. Muss ich nochmal kurz lesen. Vielleicht könnt ihr dazu noch ein paar Fragen stellen, wenn ihr wollt. Aber jetzt wollte glaub ich noch jemand nochmal was sagen. Einer von euch. L: Du bist grad gemutet. D: Äh ja, genau. Ich wollte noch eine Kleinigkeit sagen, und zwar Datenschutzerklärung. Ganz wichtiger Punkt. Und da, find ich, ist, kann man das Prinzip Privacy by Design ganz gut durchsetzen. Zwar nicht privacy by design, das englische Wort Design, sondern da können wir das deutsche Wort Design nehmen, also vom Aussehen her. Da möchte ich mal die Software von Google namens Kaggle anführen. Google ist ja eigentlich Datenschutz mäßig, echt ne Katastrophe in vielen Punkten. Aber Kaggle, das ist ein Framework für Online Deep Learning. Und da fand ich es ganz schön, wenn du dich da registriert. Da hast du die Datenschutzerklärung, alle Punkte, nicht rechtskräftig irgendwie so in juristischer Sprache beantwortet, sondern mit ganz klar einfachen, ganz klaren ein Satz, Fragen, Antworten ist da einmal die Datenschutzerklärung bei der Anmeldung aufgeschlüsselt, das sind irgendwie nur, ich sag mal 10 Zeilen, wo alle Punkte, die in der Datenschutzerklärung drinstehen, ganz klar aufgelistet sind. Und dann gibt's natürlich nochmal die große Datenschutzerklärung wurde des Ganze in juristischem Englisch aufgeschlüsselt ist. Aber eben einfach nochmal bei der Anmeldung ganz klar die wichtigsten Punkte nennen und nicht nur sagen Ja, ich habe die Datenschutzerklärungen gelesen und so weiter, sondern das übersichtlich gestalten. Das finde ich einen ganz tollen Ansatz und ich glaube würden mehr Entwickler:innen diesen Ansatz verwenden. Das finde ich einen sehr guten Punkt, was wir alle berücksichtigen können. Und Liv wollte noch etwas sagen. L: Genau ich glaube eine Sache, die jetzt auch immer so klar geworden ist. Als wir jetzt darüber geredet haben, ist es einfach wichtig so, das Mindset zu haben. Und das, ich glaube, hat auch vorhin eine person gefragt, so wie macht man das denn Entwicklenden Personen einfacher, sich daran zu halten und ich glaube das ist wirklich sozusagen dieses Mindset, dass man schon von Anfang an so denkt. Okay, eigentlich möchte ich gar keine Daten erheben und nicht davon ausgeht mit okay, ich erhebe ganz viele Daten und benutze nur die, die ich wirklich brauche. Und ich glaube das kann sowas sein, wo man vielleicht auch an sich selber arbeiten kann und dass man so denkt, so okay, Also vielleicht kann man auch im echten Leben mal durchgehen und gucken, so was es für Daten gebe ich über mich auch selber preis und dann, sozusagen der default ist, nichts preisgeben und immer nur das preisgeben, was man braucht und ich glaube das ist ein ganz gutes Mindset ist generell. Also natürlich muss man da auch Ausnahmen machen, man hat ja auch Familie und Freunde, die vielleicht mehr über einen wissen können. Aber ich glaube, dass sich das auch ganz gut so auf Technologie übertragen lässt, also dass man sich da wirklich irgendwie drüber, dass man drüber nachdenkt und an ein bisschen mehr Zeit rein auch steckt. Und ich glaube, dass es auch bei Jugend Hackt Projekten ja machbar ist. Also hat man ja oft ein Wochenende und ich glaube dann findet man da 10 Minuten bis ne Stunde, um da mal drüber nachzudenken. Und das ist ja auch ethisch interessant und dann ja auch mit Code die Welt verbessern. Ich glaube dazu gehört auch, dass man die Welt verbessert in Hinsicht auf Datenschutz. Und es ist ja auch ein wichtiges Thema für Jugendliche. Warum glaubt ihr denn, wissen vielleicht so viele Jugendliche gar nicht so viel über Datenschutz? Oder ist es ihnen nicht so wichtig? Nochmal so ein ganz anderes Thema ist, die vielleicht erst Social Media, wo Datenschutz vielleicht fragwürdig gehandelt wird. Warum glaubst du, dass vor allem Jugendliche das so ignorieren? P: Ja, die Frage ist, kann ich natürlich nicht beantworten. Ich weiß jetzt nicht genau, was andere Jugendliche denken, aber ich denke, ein Problem ist zum einen, dass Datenschutz immer so ein abstraktes Thema ist, also da. Das liest man davon. Manchmal liest man nur irgendwelche Sachen in Zeitungen oder Online-Zeitungen. Wahrscheinlich eher, aber weiß auch nicht so richtig, was bedeutet das jetzt? Wie betrifft es mich? Und zum anderen ist auch so. So Datenschutzerklärungen sind ja wie gesagt meistens in so einem Jura-Sprech geschrieben, was eigentlich, ganz interessant, gar nicht notwendig ist. Eigentlich ganz im Gegenteil. Die soll ja wie gesagt gut lesbar sein, sodass möglichst jede Person die versteht. Dieses Microsoft Beispiel von vorhin ist da eher ein komplettes Gegenbeispiel. Es ist eigentlich eher schädlich und man könnte argumentieren ist fast schon eher eigentlich schon wieder ein Verstoß gegen den Datenschutz. Und das ist eben so. Datenschutzerklärung und so was, dass es nicht gut formuliert ist und das andere ist, dass man sich auch mit der DSGVO gar nicht so beschäftigt hat. Ich kann tatsächlich allen Leuten empfehlen, sich die mal durchzulesen. Die ist relativ gut formuliert, anders als manch andere Gesetze, die. Man kann sich da mal den Anfang durchlesen, alles was man nicht versteht, überspringen. Aber die meisten Sachen versteht man eigentlich relativ gut so, ohne dass man davor erst ein Jurastudium oder so was benötigt. Und das, finde ich, ist halt eben vorteilhaft auch, das heißt, man sollte sich damit immer beschäftigen und zum anderen müssten halt auch eben, finde ich, müsste mehr Awareness dafür geschaffen werden. Ich hoffe natürlich. Wir hoffen natürlich, dass dieser Vortrag ein bisschen dazu auch beihilft, aber vielleicht sollte es auch irgendwie in der Schule oder so was angesprochen werden. Es gibt ja immer mehr Informatik- oder ITG-Unterricht, also was. Da könnte man halt auch sich vielleicht ein oder zwei Stunden damit beschäftigen. Es würde, denke ich schon sehr viel helfen. D: Genau in die Richtung auch, weshalb das gar nicht so häufig ankommt bei den Leuten, ist glaub ich, weil sie gar nicht so das Verständnis dafür haben und gar nicht nahe gebracht bekommen, weshalb das wichtig ist. Darüber haben wir jetzt auch gar nicht gesprochen. Es ist, wär nochmal was völlig anderes, aber, dass viele Leute sich gar nicht dessen bewusst sind, was da für ein Finanzierungs- und Ausbeutungsmodell hinterm Datensammeln steckt und wie viel. Und weshalb überhaupt eine App kostenlos sein kann. Ich glaube, diese Reflexion fehlt bei vielen Leuten. Das finde ich total schade. Oder Liv? L: Genau. Ja, finde ich auch so. Ich glaube, dass. Ich glaub Paul hat hier grad schon sozusagen angesprochen, so sollte man das auch mehr in der Schule thematisieren? Dem stimme ich total zu. Aber ich weiß nicht, ob sich alle Lehrer dem so gewappnet fühlen würden. Genau. Ich habe neulich eine Präsentation gehalten, über Datenschutz für Jugendliche in der Schule und hab da z.B. auch diese Webseite "Have I Been Pwned" gezeigt, wo man so seine Email-Adresse eingeben kann. Dann kann man sehen sozusagen, wo es irgendwie Leaks gab, wo die rausgekommen ist. Das ist ja auch, was mit Datenschutz zu tun hat. Und das fanden alle total cool und total interessant. Und dort hab ich auch DSGVO vorgestellt und das kannte praktisch keiner. Also ich finde, das ist ein guter Punkt, wo man ansetzen muss. Aber ich glaube, es reicht nicht. Also ich glaube, da muss die Schule an sich noch das selber mehr pushen, weil man das nicht auf die Schüler ablagern kann. Genau. Falls ihr im Chat oder wo auch immer ihr grad - nein man guckt nicht im Chat zu - wo auch immer ihr grad zuguckt, falls ihr noch mit uns weiter diskutieren wollt und noch Fragen habt, gehen wir danach noch in einen Big Blue Button Raum, der ein bisschen Datenschutz freundlicher ist als Zoom, also müsst ihr euch da keine Sorgen machen. Und genau, wir würden uns freuen, wenn noch möglichst viele Leute dort mit uns weiterreden, da dieser Stream in 3 Minuten zu Ende ist. Aber genau. Mir hat es total viel Spaß gemacht mit euch zu diskutieren. Und ich finde es ist ein total wichtiges Thema, wo ihr auch, glaub ich, endlos weiter drüber reden könnte. D: Genau an der Stelle nochmal. Wir haben jetzt total viele, viel Rückmeldung schon im Chat bekommen, dass euch der Talk vielleicht auch gefallen hat und es freut uns natürlich auch total, dass wir euch da irgendwie ein bisschen Input geben können. Ja, war total nett. Wird euch als Publikum, auch wenn wir euch leider dieses Mal nicht vor Ort sehen. P: Aber es hat ja auch einen Vorteil datenschutzrechtlich dann egal nein. Ok, so funktioniert es nicht, aber gut. Ne, hat mir auch Spaß gemacht. Auch danke für die, die zugehört haben und ich freu mich auch gleich dann noch auf vielleicht falls noch Fragen sind im Big Blue Button, vielleicht auch zu eigenen Projekten, wenn ihr da was habt, könnt ihr erfahren, vielleicht könnt ihr euch ja da irgendwie weiterhelfen oder sowas. L: Super, dann tschüss und bis zum nächsten Community Talk. D: Tschüss, bis zum Big Blue Button. Wikipaka Outro Musik Untertitel erstellt von c3subtitles.de im Jahr 2021. Mach mit und hilf uns!