Wer im Gesundheitswesen für Datenschutz zuständig ist, arbeitet dauerhaft mit den heikelsten Informationen überhaupt, den „besonderen Kategorien personenbezogener Daten“ nach Art. 9 der DSGVO. In Episode 163 des c’t-Datenschutz-Podcasts spricht Gästin Daniela Will darüber, wie sie diese Aufgabe bewältigt. Sie leitet die Stabsstelle Datenschutz der Münchnen Klinik gGmbH, einem der größten kommunalen Klinikverbünde Deutschlands mit fünf Häusern und rund 8000 Beschäftigten. Ihr Credo: konsequent risikoorientiert arbeiten, „first things first“.

Bevor es ans Kernthema geht, nehmen sich c’t-Redakteur Holger Bleich, heise-Verlagsjustiziar Joerg Heidrich und ihre Gästin die aktuellen Reformpläne der Bundesregierung vor. Kleine und mittlere Unternehmen sowie Vereine sollen nach dem Willen der Regierung deutlich weniger Datenschutzpflichten erfüllen müssen. Auch die Pflicht zu betrieblichen Datenschutzbeauftragten soll in vielen Fällen fallen. Will hält das für den falschen Weg. Das eigentliche Problem kleiner Unternehmen liege oft nicht im Datenschutz selbst, sondern in ihrer schwachen Position gegenüber großen IT-Anbietern wie Microsoft, SAP oder Workday. Hier brauche es klare Regeln für die Anbieter, nicht weniger Schutz für Betroffene.

Scharf kritisiert die Runde auch Pläne, das Informationsfreiheitsrecht im Bund einzuschränken. Anfragen an Behörden könnten künftig nur noch natürlichen Personen mit besonderem Interesse offenstehen. Vereine, NGOs und möglicherweise auch Medien würden wohl vom Recht ausgeschlossen. Zudem könnten die bislang gedeckelten Kosten für Anfragen exorbitant steigen. Bleich, Heidrich und Will sehen darin ein fatales Signal: Gerade in Zeiten sinkenden Vertrauens in Politik und Verwaltung müsse der Staat transparenter werden, nicht verschlossener.

Umgang mit Artikel-9-Daten

Das Bußgeld der Woche kommt aus Frankreich: Fünf Millionen Euro musste ein Marktforschungsunternehmen zahlen, das Daten aus 14.000 Apotheken als „anonym“ ausgab, obwohl Geburtsjahr, Geschlecht, Diagnose und Symptome eine Reidentifizierung leicht ermöglichten. Für die Runde ein Musterbeispiel dafür, wie fahrlässig mit dem Unterschied zwischen Pseudonymität und Anonymität umgegangen wird.

Im Hauptteil geht es um den Umgang mit Artikel-9-Daten. Will schildert für Heidrich überraschend Pragmatisches: Im Klinikalltag reicht ihr Art. 9 Abs. 2 als Rechtsgrundlage für fast alle Behandlungen aus, kombiniert mit dem Behandlungsvertrag. Einwilligungen braucht sie nur in wenigen Fällen, etwa bei der Weitergabe an Hausärzte oder für Forschungsstudien.

Als Segen bezeichnet sie das neue Gesundheitsdatennutzungsgesetz, das die interne Auswertung vorhandener Daten zur Qualitäts- und Patientensicherheit erleichtere. Beim europäischen Gesundheitsdatenraum (EHDS) und der elektronischen Patientenakte (ePa) hake es dagegen weiter: Daten werden bislang meist nur als unstrukturierte Dokumente übergeben, echte Interoperabilität ist noch Zukunftsmusik.

Missbrauch von Auskunftsrechten

Besonders anspruchsvoll sind Auskunftsbegehren zu medizinischen Daten. Will muss jede Anfrage inhaltlich prüfen, damit etwa frische, schwerwiegende Diagnosen nicht ungefiltert herausgehen, sondern zuerst ärztlich begleitet werden. Heikel wird es bei Minderjährigen und in Sorgerechtsstreitigkeiten, wo Auskunftsrechte oft als Kontrollinstrument missbraucht werden. Wills Fazit: Datenschutz in der Klinik funktioniert nur mit Augenmaß, Erfahrung und enger Zusammenarbeit zwischen Medizin, IT und Verwaltung.

Episode 163:

Hier geht es zu allen bisherigen Folgen:

(hob)

Bei einer breit angelegten, weltweiten Operation unter Beteiligung von 97 Ländern haben die Strafverfolgungsbehörden 5.811 Verdächtige festgenommen und illegale Vermögenswerte im Wert von 293 Millionen US-Dollar sichergestellt. Die von Interpol koordinierte Operation „First Light 2026“ von Mitte Januar bis Ende April konzentrierte sich auf die Bekämpfung von Social-Engineering-Betrug, darunter Kompromittierung von Geschäfts-E-Mails, Sextortion, Romance Scams, Identitätsdiebstahl und Anlagebetrug, und damit verbundene Geldwäscheaktivitäten.

„Dazu gehörten proaktive Schritte gegen hochrangige Zielpersonen, Razzien in identifizierten Räumlichkeiten, die Sperrung oder das Einfrieren von Bankkonten und virtuellen Wallets, die Beantragung von Interpol-Notices und -Diffusions [Ausschreibungen zur Fahndung und Durchgaben, Anm.] sowie der proaktive Einsatz von I-GRIP (Global Rapid Intervention of Payments)“, schreibt Interpol in einer Mitteilung. I-GRIP bezeichnet einen Mechanismus zum Zahlungsstopp, der die rasche Blockierung illegaler Finanzströme – sowohl bei Fiat- als auch bei virtuellen Vermögenswerten – ermöglicht.

Mehr als 142.000 Geschädigte

Im Rahmen von „First Light 2026“ wurden laut Interpol weltweit mehr als 142.000 Opfer ermittelt, 31.014 Bankkonten gesperrt, und über die Festgenommenen hinaus 15.606 weitere Verdächtige identifiziert. In Eswatini nahm die Polizei beispielsweise 82 Personen fest und zerschlug ein kriminelles Netzwerk, das illegales Online-Glücksspiel, Geldwäsche und ausgeklügelte Betrugsmaschen unter Vortäuschung falscher Identitäten betrieb. Die Behörden beschlagnahmten u. a. eine täuschend echte Nachbildung einer brasilianischen Polizeiwache – komplett ausgestattet mit gefälschten Uniformen, Beschilderungen und Ausrüstungsgegenständen. Die Betrüger täuschten ihre Opfer, indem sie sich per Videoanruf als brasilianische Bundespolizei ausgaben, und verleiteten sie, Gelder zur „Sicherstellung“ zu überweisen, die anschließend gestohlen wurden.

In Thailand nahm die Polizei zwei Personen fest und deckte ein Geldwäsche-System auf, bei dem illegal erlangte Gelder aus Romance Scams in verschiedene Kryptowährungen transferiert wurden. In Singapur und im Oman nutzten die Behörden das I-GRIP-Verfahren, um eine illegale Überweisung in Höhe von 6,6 Millionen US-Dollar zu blockieren, die mit einem Betrug durch Kompromittierung von Geschäfts-E-Mails in Verbindung stand.

Die Operation „First Light 2026“ wurde durch das chinesische Ministerium für öffentliche Sicherheit finanziert und durch die regionalen Polizeiorganisationen ASEANAPOL, GCCPOL und Europol unterstützt. Zu beteiligten Ländern gehörten Österreich, Dänemark, Frankreich, Liechtenstein, Großbritannien und die Vereinigten Staaten; die Schweiz und Deutschland waren nicht beteiligt.

Schläge gegen organisierte Kriminalität

„Kriminelle Netzwerke nutzen die menschliche Psychologie aus, um ihre Opfer zu manipulieren. Kein Land kann sicher sein, solange nicht alle Staaten über die nötige Ausstattung verfügen und entschlossen gemeinsam dagegen vorgehen“, erklärte Tomonobu Kaya, Leiter des Interpol-Zentrums für Finanzkriminalität und Korruptionsbekämpfung. Interpol unterstütze die Mitgliedsstaaten dabei, „eine umfassende und koordinierte Strategie zur Bekämpfung von cybergestützter Finanzkriminalität, organisierten kriminellen Netzwerken und der damit verbundenen Geldwäsche zu entwickeln“.

Die Operation „Firtst Light 2026“ folgt auf die weltweite Operation „Synergia !II“ gegen Cybercrime, bei der 45.000 IP-Adressen und Server offline genommen und 94 Personen inhaftiert wurden. Zuvor hatte bereits eine großangelegte Razzia in zahlreichen afrikanischen Ländern im Dezember 2025 und Januar 2026 zur Festnahme von 651 Verdächtigen und zur Beschlagnahmung von mehr als 4,3 Millionen US-Dollar geführt. Die Operation mit dem Namen „Red Card 2.0“ richtete sich gegen kriminelle Netzwerke hinter hochverzinslichen Anlagebetrügereien, Betrug mit mobilem Geld und betrügerischen Kreditgeschäften. Es war die zweite große koordinierte Aktion gegen Cybercrime in ganz Afrika innerhalb weniger Monate. Bei der Operation „Serengeti 2.0“ in 18 afrikanischen Staaten im August vergangenen Jahres nahmen die Behörden 1.209 Personen fest und stellten fast 100 Millionen US-Dollar sicher.

(akn)

Eine Pappmaché-Version von CSU-Innenminister Alexander Dobrindt springt aus einem Pappkarton, begleitet von einer riesigen Überwachungskamera. Diese Szene hat die NGO AlgorithmWatch vorbereitet, als sie am gestrigen Mittwoch eine Petition gegen das Überwachungspaket übergeben hat, pünktlich zur ersten Lesung der Gesetzentwürfe im Bundestag. Vor Ort waren die Bundestagsabgeordneten Konstantin von Notz (Grüne), Clara Bünger (Linke) und Maja Wallstein (SPD).

Durch die Reformen dürfte die Polizei automatisiert etwa Fahndungsfotos mit Social-Media-Beiträgen abgleichen und über Datenbanken hinweg Analysen durchführen. Mehrere zivilgesellschaftliche Organisationen kritisieren das Paket scharf, unter anderem weil Behörden die Daten zum biometrischen Abgleich sogar an private Firmen im Ausland übermitteln könnten. Außerdem mache der Gesetzentwurf nicht klar, wie der Abgleich von Bildern gesuchter Personen mit im Netz verfügbaren Fotos funktionieren soll, ohne gegen die KI-Verordnung der EU zu verstoßen.

AlgorithmWatch hat die Petition Mitte April gestartet, nachdem Innen- und Justizministerium die drei Gesetzentwürfe zur Stärkung digitaler Ermittlungsbefugnisse vorlegt hatten. Fast drei Monate später überweist der Bundestag die Gesetzentwürfe nun in die Ausschüsse – und die Petition zählt mehr als 167.000 Unterschriften. Zusätzlich hat die Organisation eine E‑Mail-Vorlage eingerichtet, mit der sich Interessierte in wenigen Klicks persönlich an Mitglieder des Bundestags wenden können.

„Genau das Werkzeug, von dem Autoritäre träumen“

Vor fast leeren Reihen hielten die Abgeordneten am Mittwoch ihre Reden zu den Entwürfen. Eine halbe Stunde Aussprache gab es für das umfangreiche Paket. Der Entwurf „zur Änderung der Strafprozessordnung“ soll nun im Ausschuss für Recht und Verbraucherschutz beraten werden. Die Gesetzentwürfe „zur Stärkung digitaler Ermittlungsbefugnisse in der Polizeiarbeit“ und „zur Stärkung digitaler Ermittlungsbefugnisse zur Abwehr von Gefahren des internationalen Terrorismus“ wandern in den Innenausschuss.

Die Opposition hatte Anfang Juli Anträge vorgelegt. „Nein zu biometrischen Massenerkennungssystemen“, schreibt etwa die Linksfraktion. „Sie bauen eine autoritäre Infrastruktur, und diese Infrastruktur bleibt“, sagt Clara Bünger in ihrer Rede im Bundestag. „Eine biometrische Kartei von Millionen Menschen ist genau das Werkzeug, von dem Autoritäre träumen.“

Die Grünen kritisieren, dass die Regierung die Befugnisse für digitale Ermittlungen pauschal ausweiten will. „Wenn Sie das so verabschieden, sind Sie einmal mehr vor dem Bundesverfassungsgericht“, sagt Konstantin von Notz. Die Grünen fordern, die automatisierte Datenanalyse sowie die Fotofahndung im Netz solle stattdessen nur unter bestimmten Voraussetzungen möglich sein.

AlgorithmWatch sieht keine Spielräume. „Die vorgeschlagenen Befugnisse sind europarechtswidrig, verletzen verfassungsrechtliche Mindestanforderungen und widersprechen datenschutzrechtlichen Grundsätzen“, schreibt die Organisation mit Blick auf den automatisierten biometrischen Abgleich mit öffentlich verfügbaren Daten aus dem Internet. Die Regierung solle die Entwürfe zurückziehen. In der E‑Mail-Vorlage an Bundestagsabgeordnete heißt es deshalb: „Stoppen Sie diese Überwachungspläne!“