#rC3 - Jugend hackt Community Talk: Datenschutz für Jugendliche

Wikipaka Intro-Musik

Liv: Hallo, ich hoffe man kann uns gut
hören und ihr seid alle sehr gespannt,

uns heute zuzuhören. Denn wir wollen heute
über Datenschutz und warum Datenschutz

besonders für Jugendliche wichtig ist, und
DSGVO, also die Datenschutzgrundverordnung

sind ja legalere Teile von, reden. Und wir
dachten, wir stellen uns erst mal vor.

Ich bin Liv und ich bin seit, ich glaube, erst
anderthalb Jahren bei Jugend Hackt dabei.

Genau. Und ich beschäftige mich selber mit
Datenschutz und werde euch auch ein

bisschen was von meinem kleinen Projekt
vorstellen. Ich benutze sie/ihr Pronomen

und gehe noch zur Schule, was
auch was mit meinem Projekt zu tun hat.

Paul: Hallo, ich bin Paul, ich bin 10
Jahre alt und studiere jetzt Informatik

und bin jetzt auch schon seit ein paar
Jahren bei Jugend Hackt, interessiere mich

auch für Datenschutz und werde euch auch
ein paar Sachen erzählen, was ich für

lustige Sachen mit Datenschutz gemacht
habe und so.

Dфҿ: Moin, ich bin Dфҿ mit dem Zopf,
Pronomen sie/ihr. Ich beschäftige mich

auch total gerne mit Datenschutz, gerade
auch in Bezug auf Software-Entwicklung.

L: Und wir dachten, wir fangen es mit
einem kleinen Ice Breaker an.

Und zwar: Was ist Eure Lieblings Datenschutz Funfact?
Ich brauch noch ein bisschen Zeit,

um mir was zu überlegen. Aber Paul, willst du
vielleicht anfangen?

P: Ja. Ich habe tatsächlich was, und zwar.
Es kennt ja eigentlich wahrscheinlich

ziemlich viele Leute diese
Datenschutzerklärungen. So ellenlange

Texte, die sich so gut wie niemand
durchliest. Und ich hab da mal angeguckt,

in der DSGVO, was da drin steht. Dazu und
da steht tatsächlich im Prinzip drin, dass

dass die mit Emojis gemacht werden können. Also
das steht nicht ganz drin.

Aber ich kann ja auch zeigen, was drin steht. So, jetzt
muss der Arm ja... also in der DSGVO steht

nämlich in Artikel 12 drin; die
Information können in Kombination mit

standardisierten Bildsymbolen
bereitgestellt werden. Und wenn sie in

elektronischer Form dargestellt werden
müssen, müssen sie maschinenlesbar sein.

Und ja, was sind standardisierte Bimbole,
die maschinenlesbar sind, als Emojis.

Es ist ganz witzig, weil es wird natürlich
Datenschutzerklärungen aufwerten.

Dann würden wahrscheinlich viel mehr Leute sich
auch die angucken.

D: Ja, total.
P: Dфҿ mit dem Zopf, hast du irgendwas?

D: Ja.
P: Was findest du so unverständlich?

D: Dein Funfact finde ich richtig gut,
auch im Positiven richtig gut.

Mein Funfact geht leider nicht ganz so ins
Positive. Ich habe mir mal die

Datenschutzerklärung von Microsoft
heruntergeladen und als PDF gespeichert.

Und jetzt kann man sich ja mal überlegen,
wie viele Seiten sind das wohl in A4.

Es sind 1200. Die sind in - und es ist ganz
clever gelöst. Es ist eigentlich nur so

eine Seite auf dem Bildschirm. Aber es
sind ganz viele Unterpunkte. Und wenn alle

expandiert sind, dann sind das 1200 Seiten
PDF auf A4. Das finde ich schockierend,

aber trotzdem lustig. Und Liv, hast du da
irgendwie was, was du lustig findest?

L: Ich fürchte, ich habe nicht so richtig
ein Funfact, aber eher so ein Nachdenkfact

Ich finde nämlich z.B. das Recht auf
Vergessenwerden in der DSGVO total

spannend und so, was es irgendwie ethisch
so bedeutet und so. Was macht das Internet

mit uns und wie lange bleibt man da? Und
so was ist nicht so'n Funfact, aber

so' Nachdenk-Fact. Und eine Sache die ich auch noch
sagen wollte: wir sind alle keine Anwälte

alles was wir sagen könnte theoretisch
falsch sein. Wir versuchen natürlich

unser Bestes zu geben. Aber falls ihr
irgendwelche richtigen Fragen habt,

die wirklich das Gesetz betreffen oder da
irgendwie Probleme habt, solltet ihr am

besten mit einem richtigen Anwalt darüber
sprechen. Genau. Wunderbar.

Dann erst einmal so: Warum ist
ist Datenschutz wichtig? Worum geht's

überhaupt bei Datenschutz? Dфҿ mit dem
Zopf willst du da mal was dazu sagen?

D: Ja genau, es gibt beim Datenschutz, so
unabhängig jetzt von Recht und

Datenschutzgrundverordnung und unabhängig
davon hochriskant, es gibt so Grundsätze

des Datenschutzes. Sind eher
philosophisch-ethische Grundsätze. Da geht

es darum, was ist Datenschutz überhaupt
und weshalb sind personenbezogene Daten

überhaupt wert zu schützen? Gut, die
meisten, die das hier angucken, haben da

schon so Idee. Aber trotzdem können's ja
nochmal durchgehen. Da gibt's den ersten

Punkt. Das ist ein ganz abstrakter Punkt.
Das ist der Grundsatz von "Treu und

Glauben". Das hört sich total kryptisch an.
Aber da geht's erst mal darum, dass

Datenschutz-Verhältnis, dass Daten
verhältnismäßig verarbeitet werden sollen.

Das heißt, dass ich nicht einfach
irgendwelchen Quatsch mit Daten machen kann

dass ich vertrauenswürdig umgehen
muss mit allem, was personenbezogene Daten sind.

Der nächste Punkt ist der Grundsatz
der Verhältnismäßigkeit. Das heißt,

ich darf nicht für irgendwie eine Bestellung
von 'ner Pizza, 'nen kompletten Lebenslauf

und die Schuhgröße aller Verwandten
verlangen. Das hat nichts damit zu tun und

steht in keinem Verhältnis. In anderen
Ländern kenne ich das leider.

In Indien ist das leider so, dass man alles
Mögliche über angeben muss,

aber eigentlich entspricht das nicht den
Prinzipien des Datenschutzes.

Der nächste Punkt ist die Zweckbindung. Das heißt, ich
darf nicht sagen...

P: Also ich wollt davor mal fragen. Weil
was sind diese personenbezogenen Daten?

Du hast den Begriff jetzt schon mal
verwendet, aber vielleicht weiß jetzt

nicht jeder, was das jetzt bedeutet. Also
was vielleicht willst du's kurz erklären?

D: Kann ich kurz machen. Personenbezogene
Daten sind alles, was mich identifizierbar

macht. Das könnte mein Name sein, meine
Adresse, mein Wohnort, mein Alter oder

eine Kombination, vor allem häufig, aus
dem, aber im Digitalen auch so Dinge wie

eine IP-Adresse. Damit kann ich
identifiziert werden. Personenbezogene

Daten sind alles, die bezogen auf mich
sind. Womit ich sagen kann, das ist

ziemlich sicher diese Person.

L: Ok! Genau, und diese, also

personenbezogenen Daten, glaube ich, das
ist so was, was man ganz oft hört.

Und da gibt's aber ja sozusagen auch noch
Unterkategorien. Also z.B. meine

Gesundheitsdaten sind total wertvoll, oder
sowas, das ich besser schützen sollte

als vielleicht meine Schuhgröße, obwohl man
natürlich irgendwie alle Daten schützen

sollte. Aber zum Beispiel mit meinen
Gesundheitsdaten kann man ganz viel Sachen

über mich herausfinden, über mein
persönliches Leben und mich vielleicht

auch irgendwie mehr beeinflussen. Und das
sind Sachen, die ich privat halten möchte,

wogegen z.B. meine Schuhgröße, obwohl sie
natürlich auch irgendwie zu mir gehört,

vielleicht nicht ganz so, so sensitive
Daten sind. Also da muss man auch nochmal;

es gibt personenbezogene Daten und die
selber haben auch nochmal Unterkategorien

sozusagen, wie - gefährlich ist nicht das
richtige Wort - aber wie schützenswert sie sind.

P: Genau da muss man ja auch beachten.

Also z.B. man kann ja mit Daten häufig
Leute, sag ich jetzt mal, erpressen in

Anführungszeichen, also mit bei
Gesundheitsdaten kann's ja zum Beispiel

sein, dass man nicht möchte, dass andere
die erfasst, weil die dann Druck auf einen

ausüben können, jetzt jetzt nicht ein
Beispiel so für Jugendliche aber z.B. im

Arbeitsleben oder sowas ist natürlich
relevanter teilweise. Darum sind die

besonders schützenswert. Aber generell ist
es ja eben immer der Punkt auch

wieso wir Datenschutz brauchen, weil
Datenschutz ja eben es ermöglicht, auf

Leute Einfluss auszuüben. Jetzt auch
bekanntes Beispiel war jetzt mit Brexit,

US-Wahl 2016, wo ja sehr viel an
extrem personalisierten Werbungen

gearbeitet wurde, was dazu geführt
hat, dass das Ergebnis schon, nach Ansicht

vieler Leute, beeinflusst wurde. Also das
ist ja auch ein wichtiger Punkt, dass Daten

geschützt werden müssen,
damit man nicht beeinflussbar ist über diese.

D: Genau das geht, finde ich, in 'ne ganz

interessante Richtung. Also in Datenschutz
geht es eigentlich immer darum, dass klar

sein muss, weshalb irgendetwas so ist. Das
ist so ein ganz wichtiger Grundsatz vom

Datenschutz. Und wenn ich irgendwelche
personalisierte Werbung zugesteckt

bekomme, von mir aus Wahlwerbung für
irgendeine Partei. Dann sollte ganz klar

sein, dass das personalisierte Werbung für
mich ist. Das ist ein ganz wichtiger

Grundsatz und das wird leider in vielen
Ländern der Welt mit Füßen getreten,

dass das so sein muss. Das finde ich ganz
schockierend.

L: Das stimmt. Ich glaube, dass so... Wir
haben so ein bisschen grad abgeschlossen,

warum Privatsphäre und generell
Datenschutz auch wichtig ist. Also gibt es

auch eine Website, die heißt
whyprivacymatters.org, ist auch auf

GitHub, könnt ihr auch ein Pull-Request
machen. Und genau, da ist einfach nochmal

so aufgelistet, so, dass man vielleicht
auch Daten besitzt, die anderen Leuten

gehören, die man nicht teilen sollte und
vielleicht auch an Institutionen. Dass es

Daten gibt, die sollte man nicht an der
Ecke finden, die man nicht an alle

Institutionen weitergeben sollte und an
das Handy zu trennen. Damit vielleicht

auch Informationen nicht herausgegeben
werden können, das sie irgendwie schlecht

aussehen, obwohl man eigentlich gar keine
schlechte Person ist. Aber ich glaube,

du hattest grade noch was zu
generell den Prinzipien von Datenschutz

gesagt, willst du dazu nochmal weiter
sagen?

D: Ja, ich kann. Ich kann's versuchen,
kurz zu fassen. Es gibt noch den Grundsatz

der Verhältnismäßigkeit. Das hatten wir
ja. Es gibt die Grundsatz der

Zweckbindung. Das heißt, ich darf nicht,
wenn ich sage, ich sammle Daten, um

irgendwie 'ne Volkszählung zu machen. Oder
Beispiele hier Corona. Ich darf nicht ...

Und wenn ich sage, dass ich Daten zur
Kontaktverfolgung sammle, darf ich die

nicht plötzlich für Kriminalverfolgung
verwenden. Das ist ein anderer Zweck und

die müsste ich dann, das müsste ich vorher
gesagt haben. Ich muss es transparent

machen. Ich muss ganz genau. Es geht auch
in die Richtung Zweckbindung. Ich muss

sagen wofür, warum, wie lange, was genau.
Ich muss einfach sagen, wie mit den Daten

umgegangen wird. Wer kriegt noch Zugriff
darauf und so weiter. Und danach zwei ganz

wichtige Punkte, nämlich die Daten-
Sicherheit, dass die irgendwie nicht

ungesichert rumliegen, das nicht vor
meiner Tür eine Kiste liegt mit all meinen

Kontaktdaten und Daten-Richtigkeit. Das
heißt, ich habe ein oder es sollte ich

sollte ein Recht haben, alle Daten über
mich, die falsch sind, korrigieren lassen

zu können, dass Leute verpflichtet sind,
falsche Daten von mir zu korrigieren und

so weiter. Und dann - das ist jetzt speziell
Europa - von der DSGVO her habe ich ein

Recht auf rechtmäßige Datenverarbeitung.
Genau deshalb. Das ist der Grund, weshalb

es die Datenschutzgrundverordnung in der
Europäischen Union gibt und die umfasst

nämlich all diese Grundsätze der Daten des
Datenschutzes.

L: Im Mittel die ganze Zeit das Wort DSGVO
um uns geschmissen. Will mal einer von

euch sagen, was überhaupt die DSGVO ist?
Also Paul, willst du das einfach mal

machen?
P: Ja, gerne. Also die DSGVO ist ein ja

nicht Ge... - es heißt nicht Gesetz,
sondern Verordnung - aber ist im Prinzip

ein Gesetz, das auf europäischer Ebene
2016 beschlossen wurde. Und da wird

festgelegt, dass die ganzen Regeln wie
Daten verarbeitet werden dürfen, wie die

weitergegeben werden dürfen, vor allem
auch in Länder außerhalb der EU. Welche

Rechte die, - das heißt betroffene
Personen sind die Leute, über die die

Daten, auf die sich die Daten beziehen,
also welche Rechte die haben und was. Das

soll vereinheitlicht werden, weil davor
gab es so, eher so ein Flickenteppich. Da

hatte jedes Land seine eigenen Regelungen
und die DSGVO hat das Ziel, dass eben die

Regeln möglichst einheitlich sind, damit
eben auch die Daten in der EU weiter

transportiert werden können, weil die
überall gleich geschützt sind. Und die

wurden wie gesagt 2016 verabschiedet und
ist dann 2018 am 25. Mai in Kraft

getreten. Man hat dann erst am 2018 so
richtig davon gehört eigentlich, weil dann

plötzlich in allen Zeitungen des stand
und. Ja, ist halt ein Gesetz, dass das

eben alles vereinheitlichen soll.
L: Genau, und ich glaube mal, so eine ganz

wichtige Sache ist, dass die DSGVO mehr
Rechte an sozusagen die Einzelpersonen

gibt. Also das sind z.B. dieser bekannte,
wieder bekannte Artikel 15, dass man zum

Beispiel fragen kann, was Institutionen
oder Firmen für Daten über einen haben. Oder

halt das Recht, dass man es berichtigen
kann und sowas. Also Einzelpersonen

kriegen mehr Rechte und Institutionen und
Firmen kriegen mehr Pflichten. Also dass

es da so nen, irgendwie so nen Wechsel
gibt und müssen vielmehr drauf aufpassen

und genau. Also nach dem 25. Mai 2018 zum
Beispiel sind dann auch so diese ganzen

Cookie-Banner oder sowas viel mehr
geworden, was man immer bestätigen muss.

Oder es gibt auch manche Seiten, also vor
allem amerikanische Seiten, die man halt

in der EU jetzt nicht mehr aufrufen kann,
weil die halt gesagt haben, dass sie das

nicht umsetzen, weil man das umsetzen
muss, wenn man europäische Bürger bedient.

Genau, hat vielleicht dazu noch jemand
was?

P: Ja, ich könnte noch kurz was sagen, und
zwar welche Ansätze die DSGVO verfolgt,

weil das ist ganz interessant, die
verfolgt so, im Prinzip gibt's drei

Säulen; als erstes sagt die DSGVO, dass
die Leute die Daten verarbeiten,

personenbezogene Daten, dass die selber
erst mal für die Sicherheit und für den

Datenschutz sorgen müssen. Da gibt's auf
Englisch ist hier das Schlagwort Privacy

by Default und Privacy by Design, also
Datenschutz als Standardeinstellung und

Datenschutz aber eben auch durch die
Technik-Gestaltung. Also ich muss halt

eben, wenn ich jetzt neue Software
entwickle dafür sorgen, dass die möglichst

Datenschutz freundlich ist. Da müssen dann
halt meine eigenen Interessen

zurückstehen. Das zweite sind eben die
eben schon erwähnten Betroffenen-Rechte.

Die sorgen halt dafür, dass ich als
Betroffener noch mein Datenschutz selber

in die Hand nehmen kann und dafür sorgen
kann, dass eben der Datenschutz

durchgesetzt wird. Und ich sehe inzwischen
ne Frage, dass Leute gefragt haben, wie

man das als Entwickler einfacher macht,
Datenschutzgesetze einzuhalten. Ich habe

dazu wollen wir nachher noch was sagen.
Aber grundsätzlich ist es so, dass man

halt auch eben als Benutzer auf einer
Webseite oder als Benutzerin dafür sorgen

kann, dem man hat eben seine
Datenschutzrechte, also so Auskunft und

Löschung, Berichtigung und sowas nutzen
kann. Und das dritte ist, dass eben es

auch Haftung und Geldbußen und sowas gibt.
Es sind immer diese gefürchteten Millionen

Bußgelder, die die Aufsichtsbehörden
verhängen können, was eben dazu sorgt,

dass die DSGVO notfalls auch ich sage mal
Datenschutz mit der Brechstange

durchgesetzt wird.

D: Ah sorry, genau. Kleine Anmerkung da

noch, wir reden jetzt ja immer die ganze
Zeit über Digitales, und Datenschutz ist

im Digitalen ja auch total wichtig und
total weit verbreitet. Aber Datenschutz

ist genauso - die DSGVO vor allem - die
gilt genauso in der analogen Welt. Das

heißt, die gilt genauso, wenn ich irgendwo
ein Formular vor Ort ausfülle. Und das ist

immer auch total wichtig zu beachten, dass
es im Datenschutz auch so eine total

wichtige Schnittstelle zwischen der
analogen und der digitalen Welt ist.

Genau. luap hat das gerade ganz gut
formuliert. Die ist Technik neutral. Das

heißt, es ist völlig egal, ob ich da jetzt
was Digitales, was Analoges, ob ich da ne

Diskette oder WLAN verwende. Datenschutz
gilt immer, weils einfach eine

Grundverordnung ist, die überall gilt und
was total wichtige Grundsätze vermittelt.

L: Das stimmt. Das ist, finde ich, ein
total wichtiger Punkt, wo wir vielleicht

auch schon, also wir dachten, wir reden so
ein bisschen über zwei große Themen. Das

eine ist irgendwie so, also wir dachten,
es ist für Jugendliche vor allem dann so

was beschäftigt uns, irgendwie Schule und
Programmieren. Und deshalb wollten wir

einmal so auf den schulischen Aspekt
eingehen. Genau. Und wie Datenschutz in

der Schule unserer Meinung nach umgesetzt
wird und so den ganzen Aspekt. Und dann

einmal so Ich als programmierende Person
sitze bei Jugend Hackt und möchte

irgendetwas machen. Worauf muss ich
achten? Was hab ich da für ne

Verantwortung? Genau.
P: Ich glaub, Liv, du hattest doch jetzt

auch ein paar Sachen mit Schule, willst du
da mal anfangen?

L: Kann ich gerne machen. Genau. Ich
meinte nur Schule, weil ich dachte, dass

ne Schule ja noch vieles analog passiert.
Und z.B. glaube ich, könnte man auch

Auskunft über seine ganzen Arbeiten, die
müssen ja auch aufgehoben werden. Ich weiß

gar nicht wie lange, relativ lange und auf
jeden Fall. Ich glaube, dass man die

theoretisch könnte man sich auch sozusagen
erfragen, ist halt viel zu großer Aufwand,

deshalb können die einfach nein sagen.
Bzw. genau. Aber da ist dann ja auch noch

eine Sache, wo es dann halt analog ist und
wo man auch sich fragen kann, ob das alles

so Datenschutz konform ist. Wenn es dann
irgendwo in nem Keller liegt. Aber genau

dann fang ich mal an. Ich hab eine; ich
hätte noch ne kleine kreative Attacke vor

ner Stunde und hab was versucht zu
zeichnen. Genau das könnte jetzt auch mal

einblenden, dass ist nicht besonders
hübsch geworden. Aber hier was ihr sehen

könnt ist so ein tolles Kuchen Diagramm,
was zeigt, wie viele der DSGVO Anfragen,

die ich an verschiedene Schulen und
Bildungseinrichtung gestellt habe,

erfolgreich waren. Ich hatte leider jetzt
irgendwie keinen Geodreieck oder so.

Zimtgrün soll ein Fünftel sein. Ich hab 5
gestellt. Eine davon hat wirklich

funktioniert. Das soll das Grüne
darstellen. Das Rote soll das darstellen,

was nicht so gut funktioniert hat. Genau,
wie ich das gemacht habe, es gibt ne

Seite, die heißt "Daten anfragen", da kann
man sich so ein tollen Text copy pasten

und kann dann da hinschicken, können das
bisschen personalisieren, was man möchte.

Und genau das hab ich einfach mal gemacht.
Das hab ich an eine Uni und an drei

Schulen, zu denen ich gehe, gemacht.
Genau. Und ich habe sozusagen eine meine

richtige Schule besucht. Dann noch Kurse
an zwei anderen Schulen, die natürlich

auch die Daten über mich speichern. Und
dann hab ich noch an das Kultusministerium

von meinem Bundesland geschickt. Genau.
Und wir fangen jetzt erst mit dem

positiven Beispiel an.. Aber genau es ist
wunderhübsch geworden. Ich hoffe, ihr seid

mir nicht zu wütend, dass sie mich nicht
so hübsch geworden ist. Aber genau. Also

sehr, sehr vereinfacht der Prozess, genau
an der Uni, was man ja macht sozusagen.

Man schreibt eine E-Mail, schreibt da
rein. So ein bisschen kondensiert. Hallo,

welche Daten haben Sie über mich? Und dann
ist das richtige, was Sie machen sollen,

ist, dass Sie nachgucken, ob das auch
wirklich ich bin, der es gestellt hat.

Sonst könnte ja einfach jede Person sagen
Hallo, ich bin Liv, Ich hätte mal gern

Livs Daten. Das wäre ja suboptimal. Also
bei der Uni hat das perfekt geklappt. Ich

hab meinen Personalausweis geschwärzt
dahin geschickt und die haben mir meine

Daten zurückgeschickt, genau so wie es
sollte. Also 10 out of 10. Das

funktionierte gut. Das war leider aber
auch das einzige Erfolgserlebnis. Genau

wenn wir erst mal weitergehen. Genau wie
Schule 1, Schule 1 hat auch würde ich

sagen können die Schulen am besten
abgeschnitten noch. Ich hab auch

geschrieben: "Hallo, welche Daten haben Sie
über mich?" Das ist übrigens nicht meine

Hauptschule, nicht Hauptschule aber nicht
meine sozusagen erste Schule. Genau die

wollten einen Personalausweis. Kann sagt
in der Pause mit meinem Perso

vorbeikommen. Das okay, das verstehe ich.
Genau. Was Sie mir dann gegeben haben.

war so ein Zettel auf dem nur stand, was
für Arten von Daten Sie von mir haben,

aber nicht, welche Daten Sie wirklich
haben. Also sie haben geschrieben, wir

haben deinen Vorname, deine Adresse und
deine Noten. Aber ich meine, der Sinn von

DSGVO ist ja auch, dass ich weiß, was
genau sie haben, damit ich es korrigieren

kann. So hab ich keine Ahnung, was die da
wirklich gespeichert haben und kann's ja

nicht korrigieren. Aber ich dachte, dass
es noch so ein bisschen am Ziel vorbei,

aber es ist okay. Also so vielleicht acht
von zehn. Aber oh, schön, es gibt Lob für

die Zeichnung. Dankeschön. Dann gibt's
Schule 2. Schule 2 ist auch nicht meine

richtige Schule und Schule 2 habe ich auch
genau die gleiche E-Mail geschickt. Wollte

wissen, was sie für Daten über mich haben.
Zurück kam, "wir kennen dich nicht, und

selbst wenn, du weißt ja wohl selber,
welche Daten du angeben hast". Du musstest

ja wahrscheinlich ein Formular ausfüllen.
Daraufhin hab ich dann geantwortet, dass

ich dort den und den Kurs besuche bei dem
und dem Lehrer. Und dann kam zurück. Ja

gut, aber du weißt ja selber, wo du
wohnst. Auch nicht ganz der Sinn von

DSGVO. Ja, ich würde sagen, das fande ich
so ein bisschen merkwürdig, weil alle also

allen Schulen, denen ich geschrieben hab,
haben eine beauftragte Person für

Datenschutz, ich dachte, die würden sich
vielleicht ein bisschen besser auskennen.

Also genau, danach war ich irgendwie sehr
verwirrt. Aber genau es gab je nach Schule

3,..
P: Kann ich dazu eine Frage, gleich ne

Frage stellen, und zwar hast du dann
irgendwas danach gemacht, als du so ne

Antwort bekommen hast oder hast du gesagt,
ich lasse es jetzt, ich spar mir die Mühe

oder?
L: Soll ich's? Ich beantworte es mal

gleich nachdem ich noch Schule 3
vorgestellt hab und das danach, weil da

hab ich auch ganz viel drüber nachgedacht.
Genau das ist dann meine richtige Schule.

Da wollte ich dann einfach mal so fragen,
was sie für Daten über mich haben. Und

mein Lehrer, also mein Informatik-Lehrer
ist dort Datenschutzbeauftragter und der

hat gesagt, dass er leider im Moment keine
Zeit hat. Genau, warum ich nicht

weitergemacht habe, erzähle ich euch auch
gleich. Aber das war leider das

Traurigste, sodass gar nichts
rausgekommen. Genau. Und dann gibt es noch

mein fünfter Versuch. Der ist dann beim
Kultusministerium, weil ich da persöhnlich

mal aktiv war. Und genau, hab genau die
gleiche E-Mail geschickt und hab dann

einfach meine Daten zurückbekommen ohne
Identifikation. Was ich persönlich ein

bisschen merkwürdig fand. Also das PDF war
passwortgeschützt mit dem Datum, an dem

ich es bekommen habe. Aber. Ich meine, es
hätte ja jeder schreiben können: Hallo,

ich bin Liv. Ich hätte gerne meine Daten
und hätte dann meine komplette Anschrift,

mein Geschlecht, meine Handynummer, mein
vollständigen Namen. Und eigentlich auch

die Herkunft der Daten bekommen. Also da
hatte ich ein bisschen Bauchschmerzen, als

ich die Antwort bekommen habe. Und genau
ich wollte jetzt nicht so gerne sagen,

welches Bundesland das ist, weil es da
eine Person gibt, die dafür zuständig ist.

Und ich glaube, da kommen wir auch schon
so; Warum mich dann nicht mehr gemacht

habe. An der Schule finde es einfach
schwierig, weil ich sozusagen; meine Note

hängt ja von den Lehrern ab und würde ich
da so sehr, wenn ich könnte, dagegen ja

vorgehen. Das ist ja nichts recht. Es ist
nicht rechtmäßig, was die gemacht haben.

Aber die Frage ist, dass ich dort
irgendwie Abitur machen möchte und schon

ging mir das jetzt nicht so kaputt machen
möchte. Genau. Beim Kultusministerium hab

ich auch drüber nachgedacht. Aber ich
finde es schwierig. Weil es eine Person

ist und ich nicht weiß, wie genau. Also
ich möchte nicht, dass die Person jetzt

ihren Job verliert. Aber sowas ist ja
irgendwie ein blöder Fehler. Aber ich

finde, es ist eigentlich schon nicht
unwichtig. Genau deshalb hab ich da halt

nicht weitergemacht. Falls aber jemand
Ideen hat, wie man das so zu sagen

weitermachen könnte oder irgendwie so. Ich
hab, binjetzt auch nicht so auf

Konfrontation aus. Es war für mich
wirklich eher so ein kleines Projekt. Mal

gucken, wie funktioniert das überhaupt?
Und ich will auch keine Schule da jetzt

irgendwie schlecht darstellen oder sowas.
Und ja, das war für mich eher so ein

privates Projekt, so ein kleines. Aber.
Genau. Also ich finde es zeigt einfach,

dass es vielleicht ein strukturelles
Problem ist, dass die Schulen es auch

einfach alleine nicht hinkriegen. Und das
ist nicht die Schuld von den Lehrer:innen

ist, aber, dass der einfach ich vom Land
sehr viel mehr getan werden muss, dass die

Schulen da Unterstützung kriegen, weil es
ja anscheinend nicht funktioniert und auch

man selber nicht. Aber genau das ist so
ein bisschen das, was ich gemacht habe.

D: Ja 'n total cooles Projekt finde ich
und ich finde es gibt uns auch schon

ziemlich viel Erkenntnis darüber, wie
Datenschutz im Alltag tatsächlich

funktioniert und in Schulen ich mein, da
sind wir alle von betroffen. Alle jüngeren

Leute, wahrscheinlich das meiste Publikum
dieses Talks hier und was noch weiter so

schief läuft, gerade im Bezug auf Bilder
und auf Videoüberwachung, was ja total

sensible Daten sind. Ich meine, damit kann
mensch ja total einfach Leute

identifizieren. Da hat Paul auch ein total
interessantes Projekt mit Bahn, mit der

Bahn gemacht. Was da so schief läuft.
Vielleicht kannst du das einmal

vorstellen, Paul?
P: Ja, gerne. Und zwar ein leidiges Thema,

das auch jedes Jahr auf diesem Kongress
Gegenstand ist. Von entweder Vorträgen

oder Schill-, okay, dieses Jahr mit den
Schildern ist es nicht so super, aber so

Zetteln an der Wand. Das Problem ist
immer, man wird über-. Es wird viel mehr

videoüberwacht. Alles mögliche soll
videoüberwacht werden und die Frage ist

dann auch immer, ob das immer notwendig
ist. Ich meine an Bahnhöfen wird

videoüberwacht und ich sehe dann mal so
einen Zettel. Kennen Sie diese Person? Und

das Bild ist in total niedriger Pixel
Qualität. Weiß nicht, was es dann bringt,

ob das etwas bringt. Aber es wird immer
ziemlich bezweifelt. Aber jedenfalls das

Problem mit viel Video-Überwachung ist,
dass die die ganzen Daten bekommen und wir

aber eigtlich die nur eingeschränkt
überprüfen können, weil man kann in der

DSGVO immer Datenverarbeitung damit
begründen, man hat ein berechtigtes

Interesse daran. Das heißt es liegt an
irgendetwas daran und es ist auch schon

irgendwie ein bisschen wichtiger als das
Interesse, dass die Daten nicht

verarbeitet werden. Und damit kann man sie
mal ganz gut bei dem Thema Überwachung,

das begründen und das kann man dann halt
nicht so gut überprüfen. Und da hatte ich

dann neulich, als ich mit der S-Bahn
gefahren bin in Berlin. Da stand plötzlich

in einem der Züge so ein Zettel, ja, Alles
wird videoüberwacht. Dann hab ich mir die

Zugnummer aufgeschrieben und so ein paar
seltsame Gesten gemacht, so gezeigt, so da

hier auf das Zettel mal überwenkt und
gewunken. Und habt ihr dann irgendwie 2

Stunden später eine E-Mail geschrieben,
ja, schickt mir doch mal bitte meine

Daten. Ihr könnt mich daran
identifizieren, dass ich das und das

gemacht habe. Ich hab so eine Maske
getragen. Also eigentlich alles, um mich

zu identifizieren, weil es auch eher
unwahrscheinlich ist, dass eine andere

Person genau die gleichen Sachen macht.
Und dann ist es so, das stand auch noch

dabei, dass es innerhalb von
achtundvierzig Stunden gelöscht wird,

automatisch und dadurch gesagt, ja, man
kann so verlangen, dass das eben, das

heißt Verarbeitung einschränken. Also man
kann sagen, ja, verschließt das Mal, sorgt

dafür, dass es nicht gelöscht wird. Und
die so, nöö, sind überhaupt keine

personenbezogenen Daten. Und außerdem geht
es nicht Sicherheitsinteressen blabla

andere Interessen. Und dann, das ging
tatsächlich sehr schnell, muss ich sagen.

Das fand ich gut, dass ihr; dass die da
innerhalb von irgendwie ein paar Stunden

geantwortet hatten. Das Problem war dann
nur, ich hab dann zurückgemeldet und

gesagt naja, es war schon personenbezogene
Daten, weil man kann mich damit

identifizieren, wenn man z.B. weiß, dass
ich so eine Maske trage und so so so. Und

dann. Außerdem müsst ihr mir das dann
rausgeben und Sicherheitsinteresse stimmt

auch nicht so ganz. Weil erstens, wir
wissen ja alle oder ziemlich viel wissen,

dass Security by Obscurity nicht so
richtig was bringt. Und zum anderen ist es

auch so, dass
D: Ganz kurz.

P: Ja.
D: Dazu vielleicht kannst du auch einmal

nochmal erklären, was Security by
Obscurity ist. Das wissen vielleicht nicht

alle unsere Zuhörer:innen
P: Genau gerne. Also Security By Obsucrity

heißt im Prinzip wenn ich was
verschlüssele oder geheim halten will,

dann soll ich nicht geheim halten, wie das
funktioniert. Also des

Verschlüsselungsverfahren, sondern nur den
Schlüssel. Also im Prinzip könnte man sich

bei einer Haustür vorstellen, ich soll
mein Haus nicht dadurch verstecken, dass

ich mein Haus geheim halte, sondern dass
ich einen Schlüssel habe, den niemand

anderes hat. Und das funktioniert halt
eben. Es ist halt so ein relativ

grundlegender Grundsatz von Sicherheits-
Technologie. Und außerdem ist es so, dass

in vielen Supermärkten ja immer man
teilweise noch sieht, ein Live-Stream der

Videoüberwachung. Das heißt, es kann auch
nicht so das Problem sein und dann hab ich

das jetzt geschrieben und das ist jetzt
aber, da haben die dann irgendwie ein paar

Wochen später darauf geantwortet. Und
jetzt habe ich inzwischen mich bei der

Landesbeauftragten für Datenschutz
beschwert. Kann man nämlich machen, wenn

man der Meinung ist, die Daten werden
unrechtmäßig verarbeitet oder von

Betroffenrecht wird verletzt, dann kann
man sich beschweren und dann ermitteln die

und es kann dann auch Geldbußen geben. Und
wenn man will, kann man danach auch klagen

oder sowas. Aber ja. Aber das ist jetzt
erstmal noch nichts weiter. Aber dann noch

erstmal zurück zum Thema Schule. Jetzt
gerade ist ja so, dass man viel online

Lernen und sowas hat über verschiedene
Technologien. Ja, der ganze Rest ist ja

online und die, viele Schulen verwenden ja
Software, die nicht ganz so Datenschutz

konform ist oder die Probleme bereitet und
nicht Open Source ist. Und Dфҿ, du hattest

ja dich mit Zoom beschäftigt, willst du
dazu was erzählen?

D: Ja, genau. Also Zoom ist ja total
populär geworden seit Anfang des ersten

Lockdowns, gerade in Schulen und in
Unternehmen wird es total viel zu

Videokonferenzen verwendet, genauso wie
andere Software, die mindestens genauso

fragwürdig ist. Und wir hatten mal in der
Jugend Hackt Community online darüber

diskutiert, wie der Datenschutz bei Zoom
ist. Und daraus hab ich dann mal einfach

den Entschluss gefakt, gefasst. Ich frag
da mal an, ich bin von der Schule aus

verpflichtet, Zoom zu verwenden. Ich frage
mal an, was die über mich haben. Die

Reaktion war gar nichts. Sie haben erst
einmal nichts gemacht. Ich habe die

mehrfach daran erinnert. Ich glaube, zwei
Tage vor der, vor dem Ablauf der 30 Tages

Frist auf die Antwort nach Artikel 15
haben Sie mir geantwortet, und eine Kopie

der Datenschutzerklärung geschickt. Das
ist natürlich überhaupt keine valide

Anfrage. Ich hab nämlich nach sehr
speziellen Punkten gefragt. Ich hab

gefragt, ob Daten von mir dauerhaft
gespeichert werden, wenn ich an einem

Meeting teilnehme auf Zoom. Ob die End-zu-
End Verschlüsselung, also ich wusste, dass

sie nicht existent ist, obwohl es genannt
wird. Ob die existiert? Darauf sind sie

nicht eingegangen und ich hatte gefragt,
ob die Daten, die sie speichern von mir

eventuell wie Logging Daten von Clarifying
Lawful Oversea Act, vom sogenannten US-

Cloud Act betroffen sind. Auf keinen der
Fragen haben sie geantwortet. Halte ich

auch nicht erwartet. Ich hab ihn dann noch
geschrieben. Ich, dass Sie bitte die

letzten 2 Tage, die sie noch Zeit haben,
das bitte beantworten sollen, haben sie

nicht gemacht. Danach hab ich das an den
zuständigen Landesdatenschutzbeauftragten

gegeben. Der hat das nach ich glaube 3, 3
mal nachhaken hat er das angefangen zu

bearbeiten. Und ich habe irgendwann eine
Antwort bekommen von Zoom und die war: Sie

können nichts dazu sagen, weil sie von mir
keine Daten haben. Ich könne nur eine

Anfrage stellen, wenn ich einen Zoom
Account hätte. Das ist erstmal per se

falsch, weil Daten auch ohne Account von
mir verarbeitet werden. Das ist natürlich

ein Skandal. Da habe ich zurück an den Landes-
Datenschutzbeauftragten geschrieben, der

meinte ja, sie geben das gerne mal weiter
und werden sich persönlich da nochmal

erkundigen. Rund eine Woche später hab ich
eine Antwort von denen nochmal bekommen,

also vom Landesdatenschutzbeauftragten. Ja
also, sie können das jetzt erstmal nicht

weiter bearbeiten. Sie wissen einfach
nicht, wer in der Europäischen Union für

die Beantwortung der Anfrage zuständig
ist. Sie wussten nicht, ob Sie das jetzt.

Also Sie sind auf jeden Fall nicht
zuständig, konnten Sie mir sagen. Aber sie

waren sich jetzt nicht sicher. Es ginge
darum, ob die französische, die

niederländische Niederlassung zuständig
für meine Anfrage ist. Und Sie konnten

sich einfach nicht entscheiden, ob die
niederländische oder die französische

Niederlassung von Zoom, und dem die
entsprechend französischen oder

niederländischen Behörden für meine
Anfrage zu Verständ-, zuständig sind und

haben dementsprechend erst mal nichts
gemacht. Währenddessen hab ich mich noch

weiter beschwert bei Zoom, und dann haben
sie mir irgendwann auf meine erste Frage,

ob das nämlich alles verschl- Ob das alles
verschlüsselt ist. Da steht ja zu Ende-zu-

End Verschlüsselung oben drin. Das habe
ich im März habe ich das in der Anfrage

formuliert. Da haben Sie mir gesagt Ja,
seit August wäre End-zu-End

Verschlüsselung verwendet und
dementsprechend ja, alle meine Daten seien

verschlüsselt worden. Das klingt ja ganz
toll. Nur leider haben Sie mir im August

geschrieben, dass seit August
Verschlüsselung ist. Und meine Frage aus

dem März, ob das verschlüsselt ist, haben
Sie mit Ja beantwortet, obwohl Sie da

gerade gesagt haben - nee, meine Daten von
damals wurden gar nicht verschlüsselt. Und

das ist ein Skandal, dass mir so
geantwortet wird. Ja, das ist jetzt beim

Bundesdatenschutzbeauftragten gelandet. Da
war die Antwort sie sind nicht zuständig.

Und jetzt warte ich, bis ich mal Zeit
habe. Und ich habe vor, das auf jeden Fall

vor Gericht zu bringen, weil ich finde, so
ein Verhalten, das er seit mehreren

Punkten klar Verstöße gegen Artikel 32 bis
34, gegen Artikel 15. Ja, und das ist ein

absolutes No-Go!
L: Genau, du hast uns ja gerade schon

nochmal angesprochen so. Also ich meine,
das ist ja schon ziemlich erschreckend,

dass du das in der Schule irgendwie
benutzen musst.

D: Jetzt nicht mehr.
L: Und es aber diese Lücken auch gab.

D: Hat was gebracht.
L: Bin ich sehr glücklich. Ich habe von

Anfang an haben wir uns Big Blue Button,
und es ist besser, genau. Und nochmal mit

Schule. Da hat doch eine Person auf
Twitter geschrieben, dass eine

Sicherheitslücke irgendwo in einem System
der Schule gefunden hat, womit man die

Namen aller Schüler nachschauen konnte,
die sitzengeblieben sind, und das dann die

Personen zu dem Software-Hersteller gegangen
ist, und das bekannt war und das war ein

Sonderwunsch des Schulträgers war und das
dann Datenschutzbeauftragte der Schule

meinten, das ist legal und richtig so.
Ich finde das zeigt ja auch nochmal, wie

viel Arbeit noch in Schulen gemacht werden
muss. Und total gut aber, dass du dich

dafür dann so einsetzt. Ich meine, das ist
ja auch nicht selbstverständlich. Da gibt

es ja dann auch viele Schüler:innen die
sozusagen einfach nur mitmachen müssen und

halt nicht das richtige Know-How haben,
sich vielleicht wirklich sozusagen dagegen

zu wehren, wie du das jetzt gemacht hast.
Also ich finde, das ist sehr gut, dass du

das gemacht hast.
D: Genau. Ich finde, das zeigt, dass ist

natürlich total schlimm ist, dass diese
ganze Problematik gerade in Schulen gibt,

wo total sensitive Daten wie
Leistungsdaten von Schüler:innen

verarbeitet werden. Das ist ein Problem,
dass es diese Problematik da gibt.

Natürlich. Aber ich finde, das ist ja
genau. Paul sagt gerade Kinderdaten, es

ist ja nicht von irgendwem, sondern von
Kindern, die ja eigentlich schützenswert

sind. Aber es ist gar nicht das zugrunde
liegende Problem. Ich persönlich sehe das

zugrunde liegende Problem viel tiefer, und
zwar darin, dass die Informatik in Schulen

völlig veraltet ist. Die Lehrer:innen sind
häufig gar nicht qualifiziert und der

Datenschutz wird häufig an irgendwelche
Lehrer:innen abgetan, die keine Ahnung

davon haben. Ah, und das in Kombination
mit sowieso schon schlecht qualifizierten

Informatik Lehrkräften vielerorts in
Deutschland und generell ein geringen

Stellenwert von der Informatik in Schulen.
Das ist ein Riesenproblem und vielleicht

da hab ich, ich habe auch die Hoffnung,
dass sich das vielleicht irgendwie wann

ändern wird, und dass dann das eben der
Datenschutzthemen mit einher gehen wird.

P: Ja, jetzt zu dem konkreten Fall. Ich
weiß gar nicht, ob man das jetzt aus

Datenschutzgründen vorlesen darf. Nein.
Also da ging es darum, dass Lücken die

Namen der sitzengebliebenen Schüler
verraten haben und dann wurde anderen noch

bedroht. Das geht natürlich gar nicht. Es
kann tatsächlich sogar teuer werden. Ich

weiß jetzt nicht, ob das jetzt der Fall
für die Person, die das gefragt hat, schon

abgeschlossen ist, aber ich. Mein Tipp
wäre sich bei die oder der dann, also der

oder dem Landesbeauftragten zu beschweren.
Die müssen einem eigentlich auch innerhalb

von drei Monaten antworten, sonst kann man
sich da auch nochmal. Kann man da gegen

auch nochmal vorgehen. Weil so was kann
teuer werden, weil hier in der DSGVO

drinnen, personenbezogene Daten müssen
geschützt werden und wenn die

unbeabsichtigt weitergegeben werden, dann
müssen auch die betroffenen Personen

informiert werden. Also das ist, das
sollte man. Da kann man sich dann gut

beschweren. Und genau hier hat, wurde auch
hingewiesen, jemand. Man kann auch den CCC

oder Jugend Hackt konsultieren. Ich denke,
die können da auch vermitteln, was man da

machen soll. Aber Beschwerde bei der
Landesbeauftragten hilft sicher. Und wenn

die einem dann blöd kommen mit, wir
schmeißen dich raus oder sowas, dann

kriegen die nur noch mehr Ärger. Also es
geht einfach nicht.

L: Genau. Eine Sache noch, genau ich hab
mir ja schon gesagt, ich wa so bisschen so

Landesschulbehörde aktiv. Und dort saß ich
auch in so nem Ausschuss. Und was daran

war, ist, dass auch das war, es muss 2018
gewesen sein, so kurz nachdem die dann

wirklich so in Kraft getreten ist. Und da
wurde dann drüber diskutiert, was denn

personenbezogene Daten in der Schule sind
und was davon besonders schützenswert ist.

Und das fand ich so überraschend, dass da -
wir saßen da alle in einem Raum, da waren

dann noch Vertreter von dings, von
religiösen Gemeinden und so, also

generell, das war so ein, ähm, so ein,
einfach so ein großes Treffen, Urbach, der

Kultusminister anwesend war. Und das fand
ich einfach sehr, sehr erschreckend, dass

das irgendwie da diskutiert wurde, und
dass das noch gar nicht so so sicher war.

Also zum Beispiel Religionszugehörigkeit
wird ja auch in der Schule gespeichert,

damit man den passenden
Religionsunterricht angeboten bekommen

kann. Und das sowas, ist ja auch irgendwie
personenbezogene Daten und auch sensitive

Daten. Meine Religionszugehörigkeit kann
mich ja für bestimmte Sachen vielleicht

angreifbar machen. Und das fand ich total
erschreckend irgendwie, dass das so offen

gelassen wurde. Genau. Und ich glaube, was
wir hier grade schon jetzt die ganze Zeit

angesprochen haben, war dieses
Konfrontation-Sachen, also wie geht man

damit um, wenn was falsch läuft? Habt ihr
beiden da vielleicht Ideen, weil ich bin

ja selber in der Position, wo ich sage
ich. Ich weiß nicht, wie ich damit umgehe,

Dфҿ mit dem Zopf, du bist ja sehr offensiv
da, aber ja, ich find's. Ich find's

schwierig, vor allem wenn man jugendlich
ist und vielleicht unter 18 und nicht

richtig weiß, wie man sich wehren kann.
D: Genau so, bei Schulen hab ich da ne

ganz schlechte Erfahrung. Ich hatte auch
schon in anderen Punkten mit verschiedenen

Schulen und verschiedenen Behörden um die
Bildung herum Auseinandersetzung mit

Datenschutz, da ist Konfrontation natürlich
extrem schwierig. Weil das am Ende die

Leute sind, die dir deine Zeugnissnote
geben. Und natürlich werden die nicht

sagen, du hast eine Anfrage über
Datenschutz gestellt, du hast dich

beschwert, wir geben dir eine schlechtere
Note, aber das ist natürlich so eine

unterschwellige schlechte Stimmung, die da
entsteht. Das heißt, ich würde eher

empfehlen, immer freundlich zu reagieren
und zu sagen, hm ey, ihr Lieben, hier

läuft irgendwas nicht ganz richtig. Könnt
ihr das nicht so und so machen? Das wäre

irgendwie besser. Damit seid ihr auf der
sicheren Seite. Also irgendwie eher so

Hilfe anbieten und zu sagen, so könnte man
es verbessern, als zu sagen: Hey, das ist

alles total falsch. Und wenn ihr es mit
einer doofen Firma zu tun hat, würde ich

da tatsächlich vorschlagen, auf
Konfrontation gehen. Es kann, die meisten

Firmen spielen auf Zeit. Aber wenn ihr denen
zeigt ihr seid hartnäckig, dann tun sie

meistens am Ende, was ihr wollt. Aber es
kann natürlich Monate oder bei meiner

Sache z.B. jetzt schon fast ein Jahr
dauern und man kommt nicht unbedingt immer

weiter. Vielleicht können wir damit zur
nächsten Frage weitergehen. Irgendwer

hatte doch im Chat reingeworfen, ja
einfach die Fälle alle an nen Abmahn-

Anwalt geben. Was haltet ihr davon? Findet
ihr das richtig, findet ihr das falsch,

findet ihr, das sollte man machen.
Vielleicht Paul hast du dazu ne Meinung?

P: Ja, Abmahnanwälte. Das war mal so ein
bisschen so eine Furcht, die alle hatten,

als die DSGVO in Kraft tritt. Jetzt gibt's
gleich tausende Abmahnanwälte und das

Problem ist auch immer, man kann gar nicht
immer abmahnen. Da muss man nämlich

irgendwie. Es gibt entweder
Verbraucherschutzorganisationen,

Verbraucherzentrale und sowas, da lohnt es
sich tatsächlich, weil die ja auch auf

systematische Probleme besser hinweisen.
Und das andere ist so klassische

Abmahnanwälte, die nach Fehlern suchen.
Das ist, finde ich tatsächlich

problematisch, weil ich die generell ein
bisschen zwielichtig halte. Wo vermehrt

sich Abmahnung - nein ähm Hass(?)
nein. Aber generell muss man natürlich

schon gucken. Also ich. Es ist
wahrscheinlich immer sinnvoll, sich bei

der oder dem Landesbeauftragten zu
beschweren bzw. wenn er zuständig ist beim

Bundesbeauftragten. Die sind dort sehr
kompetent, haben auch eben die

entsprechenden Mittel um das
durchzusetzen. Notfalls halt mit

Bußgeldern. Da ist man eigentlich immer
auf der sicheren Seite. Es dauert dann

halt ein bisschen, man hat nicht wirklich
den Einfluss, aber die können auch dafür

sorgen, dass das man eben, dass man eben
das notfalls durchgesetzt wird. Also da

muss man eben nicht darauf vertrauen, dass
die am Ende nachgeben. Und ansonsten, wenn

man überlegt, wenn man sich das lohnt,
kann man sich auch natürlich selber einen

Anwalt holen und klagen, was dann
natürlich noch aufwändiger ist. Wobei man

da z.B. aber auch relativ gut
Schadensersatz wollen kann. Da gibt's auch

inzwischen einige gute Entscheidungen
dafür, auch wenn's noch nicht ganz klar

ist mit Schadensersatz. Ja, Liv wollte
glaube ich noch was dazu sagen.

L: Genau. Ich finde, es ist irgendwie ein
ganz schwieriges Thema, weil auf der einen

Seite möchte man ja irgendwie, dass sich
das ändert und dass es irgendwie für alle

gut läuft und vor allem, dass es nicht nur
für die ganzen technikaffinen Leute

irgendwie einfach ist. Aber gleichzeitig
finde ich es irgendwie schwierig, so eine

Person. Also wenn ich hier so zum Beispiel
ich meine im einen Fall weiß, ich ist eine

Person, die diesen Fehler gemacht hat, so
und dann möchte ich auch nicht dafür

verantwortlich sein, dass die Person dann
irgendwie davon irgendwie sowas blödes mit

trägt. Also das empfinde ich das ganz
schwierig und ich glaube, was ich eher

machen würde ist, dass ich vielleicht der
Person selber schreiben würde. Genau. Also

ich finde das. Ich finde das ganz
schwierig, weil ich find, auf der einen

Seite steht so dieses, es soll besser
werden und die, es ist ein Gesetz, und die

haben da eine Verpflichtung zu und auf der
einen Seite ist so dieses, sind ja auch

nur Menschen, aber wer auch eine
Verpflichtung hat, sind ja

Programmierende, vor allem auch bei Jugend
hackt. Und ich glaube damit kennt sich Dфҿ

mit dem Zopf gut aus.
D: Genau. Da war ja, so kam auch im Chat

die Frage: Wie können wir selbst damit
umgehen, wenn wir irgendwie als

Hacker:innen, als Nerds irgendwie unsere
kleinen Sachen entwickeln? Und da ist,

finde ich, immer der erste Satz: Erst mal
überlegen was für Daten brauche ich

überhaupt, wenn ich irgendwie eine kleine
App baue, wo ich mich anmelden kann?

Brauche ich eine E-Mail-Adresse oder
reicht es, wenn ich mir einfach nur einen

Benutzer:innennamen gebe und ein Passwort?
Dann habe ich gar keine personenbezogenen

Daten außer dem Passwort und dann ist es
sehr viel einfacher, das zu schützen und

so weiter. Das heißt, was ich damit sagen
will, Privacy By Default und Privacy by

Design, also erst mal die Anwendung so
entwickeln, dass sie so wenig Daten wie

möglich überhaupt braucht und auch gar
nicht die Möglichkeit bietet, unnötige

Daten, also z.B. Geschlecht, Alter,
Nationalität, das sind Daten, die kann man

eigentlich immer weglassen, vielleicht
bevorzugte Sprache. Das kann sinnvoll

sein. Aber selbst das braucht man häufig
gar nicht. Viel wichtiger ist dann auch

die Dinge, die zu verarbeiten, oder
mindestens genauso wichtig ist es, die

Dinge, die auf jeden Fall verarbeitet
werden müssen, zu minimieren. Also z.B.

einfach mal nicht standardmäßig die IP
Adressen auf den Webservern speichern von

den Leuten, die es besuchen, automatisch
Posts z.B. in eine Chat App nach zwei

Wochen löschen oder generell alle Logging
Daten löschen, personenbezogene Daten

verschlüsseln. Also in der Datenbank, wo
Daten gespeichert werden irgendwie alles

mit Passwort verschlüsseln, was nicht für
andere zugänglich sein muss. Somit habt

ihr ganz eine minimale Angriffsfläche und
gewährleistet eben auch diese geforderte

Datensicherheit. Das heißt einfach, würde
ich sagen, immer minimieren, was wir

machen müssen.
P: Genau da würde ich nämlich auch sagen

das Wichtigste ist eigentlich erstmal,
dass man eben sagt, dass man. Also

Datenschutz ist grundsätzlich erst mal
Datensicherheit, also dass man Daten, die

man hat, sicher verarbeitet. Das heißt
eben verschlüsselt, sichere Transport

Kanäle nutzt. Also vielleicht habt ihr's
mitbekommen, es gab jetzt ja vor ein paar

Wochen so ein Bußgeld. Irgendwie 900 000
Euro gegen 1&1. Das lag nicht daran, dass

die irgendwelche seltsamen Sachen gemacht
haben, irgendwelche kryptischen

Vorschriften gegen die, die verstoßen
haben, sondern die haben einfach nur dafür

gesorgt, dass andere Leute, die dazu nicht
befugt sind, auf die Daten zugreifen

können. Und das heißt, das sind eben
solche grundlegenden Sachen, dass man

erstmal dafür sorgt, dass die Daten
gesichert sind. Und das Zweite ist dann

eben, dass man vermeidet, personenbezogene
Daten zu verarbeiten. Das heißt auch

nicht, dass man nie welche verarbeitet
darf, sondern immer nur, ist es notwendig

und wenn ja, dann kann man sie
verarbeiten. Und sind die Daten überhaupt

geeignet? Also jetzt zum Beispiel hat
jemand beschrieben, dass das mit dem

Usernamen Namen guter Ansatz ist, aber
wenn man ohne Verifizierung Account

erstellen kann, ist das auch nachteilhaft.
Genau das ist halt eben so. Das ist immer

eine Abwägungssache, kann man jetzt. Man
kann nicht pauschal sagen, die Daten sind

gut, die sind schlecht, sondern man muss
halt immer sagen brauche ich diese Daten,

weil z.B. für jetzt eine Webseite, die nur
privat oder sowas ist, wo jetzt nichts

ist, braucht man vielleicht keine
Verifizierung. Andererseits gibt's

Webseiten, wofür man eine Verifizierung
braucht. Das heißt, es hängt immer

komplett davon ab, was man jetzt gerade
haben will. Und ja, das sind im

Wesentlichen die wichtige Sachen, dass
man's minimiert. Und dann gibt's noch so

ein paar seltsame Sachen, man muss so eine
Datenschutzerklärung hinschreiben, was

auch nicht so schwer ist, es klingt immer so,

als ob das total viel Aufwand ist. Aber
man muss im Prinzip nur schreiben, welche

Daten man verarbeitet, wofür und welche
Rechtsgrundlage das hat, gibt es

eigentlich im Wesentlichen nur "ist für
die Verarbeitung notwendig", "Ich hab ein

berechtigtes Interesse" oder die Person
hat explizit eingewilligt, wobei

Einwilligung auch wieder schwierig. Muss ich
nochmal kurz lesen. Vielleicht könnt ihr

dazu noch ein paar Fragen stellen, wenn
ihr wollt. Aber jetzt wollte glaub ich

noch jemand nochmal was sagen. Einer von
euch.

L: Du bist grad gemutet.
D: Äh ja, genau. Ich wollte noch eine

Kleinigkeit sagen, und zwar
Datenschutzerklärung. Ganz wichtiger

Punkt. Und da, find ich, ist, kann man das
Prinzip Privacy by Design ganz gut

durchsetzen. Zwar nicht privacy by design,
das englische Wort Design, sondern da

können wir das deutsche Wort Design
nehmen, also vom Aussehen her. Da möchte

ich mal die Software von Google namens
Kaggle anführen. Google ist ja eigentlich

Datenschutz mäßig, echt ne Katastrophe in
vielen Punkten. Aber Kaggle, das ist ein

Framework für Online Deep Learning. Und da
fand ich es ganz schön, wenn du dich da

registriert. Da hast du die
Datenschutzerklärung, alle Punkte, nicht

rechtskräftig irgendwie so in juristischer
Sprache beantwortet, sondern mit ganz klar

einfachen, ganz klaren ein Satz, Fragen,
Antworten ist da einmal die

Datenschutzerklärung bei der Anmeldung
aufgeschlüsselt, das sind irgendwie nur,

ich sag mal 10 Zeilen, wo alle Punkte, die
in der Datenschutzerklärung drinstehen,

ganz klar aufgelistet sind. Und dann
gibt's natürlich nochmal die große

Datenschutzerklärung wurde des Ganze in
juristischem Englisch aufgeschlüsselt ist.

Aber eben einfach nochmal bei der
Anmeldung ganz klar die wichtigsten Punkte

nennen und nicht nur sagen Ja, ich habe
die Datenschutzerklärungen gelesen und so

weiter, sondern das übersichtlich
gestalten. Das finde ich einen ganz tollen

Ansatz und ich glaube würden mehr
Entwickler:innen diesen Ansatz verwenden.

Das finde ich einen sehr guten Punkt, was
wir alle berücksichtigen können. Und Liv

wollte noch etwas sagen.
L: Genau ich glaube eine Sache, die jetzt

auch immer so klar geworden ist. Als wir
jetzt darüber geredet haben, ist es

einfach wichtig so, das Mindset zu haben.
Und das, ich glaube, hat auch vorhin eine

person gefragt, so wie macht man das denn
Entwicklenden Personen einfacher, sich

daran zu halten und ich glaube das ist
wirklich sozusagen dieses Mindset, dass

man schon von Anfang an so denkt. Okay,
eigentlich möchte ich gar keine Daten

erheben und nicht davon ausgeht mit okay,
ich erhebe ganz viele Daten und benutze

nur die, die ich wirklich brauche. Und ich
glaube das kann sowas sein, wo man

vielleicht auch an sich selber arbeiten
kann und dass man so denkt, so okay, Also

vielleicht kann man auch im echten Leben
mal durchgehen und gucken, so was es für

Daten gebe ich über mich auch selber preis
und dann, sozusagen der default ist,

nichts preisgeben und immer nur das
preisgeben, was man braucht und ich glaube

das ist ein ganz gutes Mindset ist
generell. Also natürlich muss man da auch

Ausnahmen machen, man hat ja auch Familie
und Freunde, die vielleicht mehr über

einen wissen können. Aber ich glaube, dass
sich das auch ganz gut so auf Technologie

übertragen lässt, also dass man sich da
wirklich irgendwie drüber, dass man drüber

nachdenkt und an ein bisschen mehr Zeit
rein auch steckt. Und ich glaube, dass es

auch bei Jugend Hackt Projekten ja machbar
ist. Also hat man ja oft ein Wochenende

und ich glaube dann findet man da 10
Minuten bis ne Stunde, um da mal drüber

nachzudenken. Und das ist ja auch ethisch
interessant und dann ja auch mit Code die

Welt verbessern. Ich glaube dazu gehört
auch, dass man die Welt verbessert in

Hinsicht auf Datenschutz. Und es ist ja
auch ein wichtiges Thema für Jugendliche.

Warum glaubt ihr denn, wissen vielleicht
so viele Jugendliche gar nicht so viel

über Datenschutz? Oder ist es ihnen nicht
so wichtig? Nochmal so ein ganz anderes

Thema ist, die vielleicht erst Social
Media, wo Datenschutz vielleicht

fragwürdig gehandelt wird. Warum glaubst
du, dass vor allem Jugendliche das so

ignorieren?
P: Ja, die Frage ist, kann ich natürlich

nicht beantworten. Ich weiß jetzt nicht
genau, was andere Jugendliche denken, aber

ich denke, ein Problem ist zum einen, dass
Datenschutz immer so ein abstraktes Thema

ist, also da. Das liest man davon.
Manchmal liest man nur irgendwelche Sachen

in Zeitungen oder Online-Zeitungen.
Wahrscheinlich eher, aber weiß auch nicht

so richtig, was bedeutet das jetzt? Wie
betrifft es mich? Und zum anderen ist auch

so. So Datenschutzerklärungen sind ja wie
gesagt meistens in so einem Jura-Sprech

geschrieben, was eigentlich, ganz
interessant, gar nicht notwendig ist.

Eigentlich ganz im Gegenteil. Die soll ja
wie gesagt gut lesbar sein, sodass

möglichst jede Person die versteht. Dieses
Microsoft Beispiel von vorhin ist da eher

ein komplettes Gegenbeispiel. Es ist
eigentlich eher schädlich und man könnte

argumentieren ist fast schon eher
eigentlich schon wieder ein Verstoß gegen

den Datenschutz. Und das ist eben so.
Datenschutzerklärung und so was, dass es

nicht gut formuliert ist und das andere
ist, dass man sich auch mit der DSGVO gar

nicht so beschäftigt hat. Ich kann
tatsächlich allen Leuten empfehlen, sich

die mal durchzulesen. Die ist relativ gut
formuliert, anders als manch andere

Gesetze, die. Man kann sich da mal den
Anfang durchlesen, alles was man nicht

versteht, überspringen. Aber die meisten
Sachen versteht man eigentlich relativ gut

so, ohne dass man davor erst ein
Jurastudium oder so was benötigt. Und das,

finde ich, ist halt eben vorteilhaft auch,
das heißt, man sollte sich damit immer

beschäftigen und zum anderen müssten halt
auch eben, finde ich, müsste mehr

Awareness dafür geschaffen werden. Ich
hoffe natürlich. Wir hoffen natürlich,

dass dieser Vortrag ein bisschen dazu auch
beihilft, aber vielleicht sollte es auch

irgendwie in der Schule oder so was
angesprochen werden. Es gibt ja immer mehr

Informatik- oder ITG-Unterricht, also was.
Da könnte man halt auch sich vielleicht

ein oder zwei Stunden damit beschäftigen.
Es würde, denke ich schon sehr viel

helfen.
D: Genau in die Richtung auch, weshalb das

gar nicht so häufig ankommt bei den
Leuten, ist glaub ich, weil sie gar nicht

so das Verständnis dafür haben und gar
nicht nahe gebracht bekommen, weshalb das

wichtig ist. Darüber haben wir jetzt auch
gar nicht gesprochen. Es ist, wär nochmal

was völlig anderes, aber, dass viele Leute
sich gar nicht dessen bewusst sind, was da

für ein Finanzierungs- und
Ausbeutungsmodell hinterm Datensammeln

steckt und wie viel. Und weshalb überhaupt
eine App kostenlos sein kann. Ich glaube,

diese Reflexion fehlt bei vielen Leuten.
Das finde ich total schade. Oder Liv?

L: Genau. Ja, finde ich auch so. Ich
glaube, dass. Ich glaub Paul hat hier grad

schon sozusagen angesprochen, so sollte
man das auch mehr in der Schule

thematisieren? Dem stimme ich total zu.
Aber ich weiß nicht, ob sich alle Lehrer

dem so gewappnet fühlen würden. Genau. Ich
habe neulich eine Präsentation gehalten,

über Datenschutz für Jugendliche in der
Schule und hab da z.B. auch diese Webseite

"Have I Been Pwned" gezeigt, wo man so
seine Email-Adresse eingeben kann. Dann

kann man sehen sozusagen, wo es irgendwie
Leaks gab, wo die rausgekommen ist. Das

ist ja auch, was mit Datenschutz zu tun
hat. Und das fanden alle total cool und

total interessant. Und dort hab ich auch
DSGVO vorgestellt und das kannte praktisch

keiner. Also ich finde, das ist ein guter
Punkt, wo man ansetzen muss. Aber ich

glaube, es reicht nicht. Also ich glaube,
da muss die Schule an sich noch das selber

mehr pushen, weil man das nicht auf die
Schüler ablagern kann. Genau. Falls ihr im

Chat oder wo auch immer ihr grad - nein
man guckt nicht im Chat zu - wo auch immer

ihr grad zuguckt, falls ihr noch mit uns
weiter diskutieren wollt und noch Fragen

habt, gehen wir danach noch in einen Big
Blue Button Raum, der ein bisschen

Datenschutz freundlicher ist als Zoom,
also müsst ihr euch da keine Sorgen

machen. Und genau, wir würden uns freuen,
wenn noch möglichst viele Leute dort mit

uns weiterreden, da dieser Stream in 3
Minuten zu Ende ist. Aber genau. Mir hat es total

viel Spaß gemacht mit euch zu diskutieren.
Und ich finde es ist ein total wichtiges

Thema, wo ihr auch, glaub ich, endlos
weiter drüber reden könnte.

D: Genau an der Stelle nochmal. Wir haben
jetzt total viele, viel Rückmeldung schon

im Chat bekommen, dass euch der Talk
vielleicht auch gefallen hat und es freut

uns natürlich auch total, dass wir euch da
irgendwie ein bisschen Input geben können.

Ja, war total nett. Wird euch als
Publikum, auch wenn wir euch leider dieses

Mal nicht vor Ort sehen.
P: Aber es hat ja auch einen Vorteil

datenschutzrechtlich dann egal nein. Ok,
so funktioniert es nicht, aber gut. Ne,

hat mir auch Spaß gemacht. Auch danke für
die, die zugehört haben und ich freu mich

auch gleich dann noch auf vielleicht falls
noch Fragen sind im Big Blue Button,

vielleicht auch zu eigenen Projekten, wenn
ihr da was habt, könnt ihr erfahren,

vielleicht könnt ihr euch ja da irgendwie
weiterhelfen oder sowas.

L: Super, dann tschüss und bis zum
nächsten Community Talk.

D: Tschüss, bis zum Big Blue Button.

Wikipaka Outro Musik

Untertitel erstellt von c3subtitles.de
im Jahr 2021. Mach mit und hilf uns!