Zum Europäischen Datenschutztag: 7 DSGVO-Mythen im Recht­scheck

3/7: In Mittelfranken kommt das Christkind nicht

Viele Kinder schicken ihren Wunschzettel zum Nordpol. Im mittelfränkischen Roth werden die Wünsche hingegen an den Weihnachtsbaum auf dem örtlichen Christkindlmarkt gehängt, damit sich lokale Wohltäter der Sehnsüchte der Mädel und Buben annehmen können - so zumindest die langjährige Tradition.

Im vergangenen Jahr aber hat das zum ersten Mal seit langer Zeit nicht geklappt, weil die Stadt Bedenken wegen der DSGVO hatte. Die Zettel enthielten zwecks Wunscherfüllung nämlich Namen, Alter und Adresse des Absenders – "und waren offen für jeden einsehbar", zitiert das Online-Portal Wize life den Datenschutzbeauftragten Roths.

Nun sind zwischen Mai 2018, als die DSGVO wirksam wurde, bis zum vergangen Advent, an dem die Rother Kinderschar enttäuscht werden musste, Monate vergangen. Einen Vorwurf, sich nicht ausreichend vorbereitet zu haben, kann man der Stadt aber wohl nicht machen: Auf privater wie behördlicher Seite sorgte die DSGVO für massive Verunsicherung, die vielerorts bis heute anhält.

Das sagt Prof. Dr. Keber:

Die Lösung der Wunschzettel-Aktion der Stadt Roth haben wir bei Twitter rege diskutiert und es gibt dazu einen schönen Blog-Artikel des Kollegen Dr. Winfried Veil. Kurz gesagt kann man solche Aktionen jedenfalls mit Einwilligung der Teilnehmer durchführen, man muss den neuen Regelungen entsprechend aber ordentlich über die Verarbeitung informieren. In der praktischen Umsetzung ist das dann bisweilen schwierig. Was die Datensicherheit angeht, sind offen zugängliche Wunschzettel an einem Weihnachtsbaum auf dem Marktplatz natürlich auch nicht gerade ideal. Nach alledem gibt es für diesen Fall einen DMSS von 7/10.

Mit einiger Verwunderung habe ich in diesem Zusammenhang übrigens das Statement der Europäischen Kommission vom November 2018 zur Kenntnis genommen. Eine offizielle Klarstellung der Exekutive der Europäischen Union zu weihnachtlichen Wunschzettel-Aktionen in einzelnen Mitgliedstaaten sieht man schließlich nicht alle Tage. Rechtlich ist die Erklärung der Kommission freilich ohne jede Signifikanz, sie ist kein authentischer Interpret der DSGVO.