Unsere Redaktionen erreichen immer wieder Anfragen von Leserinnen und Lesern, wie es heise online, c't, oder andere Medien des heise-Verlags mit dem Datenschutz halten. Dürfen Journalisten beispielsweise personenenbezgene Daten, die aus einem Datenleak stammen, zu Recherchezwecken verwahren? Haben die betroffenen Personen diesbezüglich Auskunfts- und Löschrechte? Die Antwort darauf gibt die EU-Datenschutz-Grundverordung nur mittelbar, denn sie regelt diesen Sonderfall nicht direkt, sondern überlässt ihn in Art. 85 den Mitgliedsstaaten. Deutschland hat sich in Abwägung der Grundrechte - Pressefreiheit einerseits und informationelle Selbstbestimmung andererseits - für das sogenannte Medienprivileg entschieden: Unter anderem in den Landespressegesetzen ist geregelt, dass Medien aufgrund ihrer wichtigen Funktion personenbezogene Daten zu journalistischen Zwecken teils jenseits der DSGVO-Pflichten (etwa Rechtsgrundlagen und Betroffenenrechte) grundsätzlich verarbeiten dürfen. Schließen sich Presseerzeugnisse oder Onlinemedien der Selbstregulierung ihrer Branche an, unterliegen sie nicht der staatlichen Datenschutzaufsicht. Diese freiwillige Selbstregulierung hat in Deutschland bereits im Jahr 2001 der Presserat übernommen. Ihn tragen der Bundesverband Digitalpublisher und Zeitungsverleger (BDZV), der deutsche Journalisten-Verband (DJV), die deutsche Journalistinnen- und Journalisten-Union (dju) in ver.di sowie der Medienverband der freien Presse (MVFP). Im Episode 119 des c't-Datenschutz-Podcasts erläutert Roman Portack, warum es dieses Medienprivileg gibt und wie die Selbstregulierung in der Praxis funktioniert. Roman ist seit 2020 Geschäftsführer des Deutschen Presserats und außerdem Fachanwalt für Urheber- und Medienrecht. Im Podcast erklärt er zunächst, was der Pressekodex ist, dem sich die Redaktionen der teilnehmenden Medien verpflichtet sehen und der für die Beurteilung von möglichen Datenschutzverstößen in Redaktionen einschlägig ist. So verpflichten sich die Redaktionen bereits in der Präambel dieses Regelwerks, das Privatleben und das Recht auf informationelle Selbstbestimmung von Personen zu achten. Bei einer identifizierenden Berichterstattung muss das Informationsinteresse der Öffentlichkeit die schutzwürdigen Interessen von Betroffenen überwiegen (Ziffer 8 des Pressekodex). Die Weitergabe von Rechercheergebnissen darf nur zu journalistischen Zwecken erfolgen (Ziffer 5). Über ein Online-Formular kann jeder Bürger potenzielle Verstöße gegen diese datenschutzrechlichen Vorgaben melden. In der Podcast-Episode gehen Holger, Joerg und Roman einige Fälle aus der Praxis beispielhaft durch. Joerg selbst ist für den Medienverband der freien Presse (MVFP) Mitglied im Beschwerdeausschuss Datenschutz des Presserats, der über potenzielle Datenschutzverstöße in Redaktionen berät und urteilt. Ein Verstoß gegen den Pressekodex zieht einen Hinweis, eine Missbilligung oder eine Rüge nach sich. Im Falle einer öffentlichen Rüge haben sich die Verlage verpflichtet, diese im betreffenden Medium zu veröffentlichen.