Der Bundesdatenschutzbeauftragte (BfDI) Ulrich Kelber hat heute seinen jährlichen Tätigkeitsbericht veröffentlicht. In diesem befasst sich die Behörde mit allen möglichen Belangen des Datenschutzes: von der Digitalisierung des Gesundheitswesen bis hin zur Frage, welche Daten die Polizei und Geheimdienste wie nutzen dürfen. Dabei verweist die Behörde an vielen Stellen sehr klar darauf, dass die Ampel beim Datenschutz vieles besser machen müsste. Er geht dabei nicht nur auf konkrete Datenschutzvorfälle ein, sondern äußert sich auch grundsätzlich zu bestehenden und geplanten Gesetzen.

Im knapp 180 Seiten starken Bericht (PDF) empfiehlt er unter anderem dem Deutschen Bundestag, in Sachen Chatkontrolle gegenüber der Bundesregierung und dem EU-Gesetzgeber auf eine „erhebliche, grundrechtskonforme Überarbeitung“ des Verordnungsentwurfs zu drängen und sich am Beispiel der Position des Europaparlamentes zu orientieren.

Hierbei sei eine durchgehende Ende-zu-Ende-Verschlüsselung zu gewährleisten, die deutsche und europäische Grundrechte zu wahren und ein flächendeckendes und anlassloses Auslesen privater Kommunikation zu verbieten. Sollte dies nicht möglich sein, sollte der Verordnungsentwurf insgesamt abgelehnt werden, so der Bundesdatenschutzbeauftragte.

Biometrie und Überidentifizierung vermeiden

Bei den digitalen Identitäten plädiert Kelber darauf, dass bei der eIDAS-Verordnung Freiräume zur Ausgestaltung der nationalen, europäischen Brieftasche (EUDI-Wallet) genutzt werden. Deutschland solle hierbei „Vorreiter in Europa“ werden und eine Wallet-Infrastruktur etablieren, „die auch vor Überidentifizierung schützt und Vorteile der Digitalisierung für die Datenminimierung nutzt“.

Bereichspezifische Vorschriften sollten dabei „klare Beschränkungen insbesondere hinsichtlich Zweck und Dauer einer elektronischen Weiterverarbeitung von Daten, die durch Polizei- und Verwaltungsbehörden aus dem Chip eines Passes oder Personalausweises ausgelesen wurden“ festlegen, fordert die Datenschutzbehörde. Das neue Pass- und Personalausweisgesetz eröffnet hier Möglichkeiten für Behörden. Kelber befürchtet, dass „Schattendatenbanken“ entstehen könnten, die ohne Zweckbindung für „nicht absehbare künftige Verwendungen“ genutzt werden können.

Zudem sollte der Gesetzgeber „öffentlichen Stellen nur dann den Zugriff auf das biometrische Lichtbild im Chip eines Passes, Personalausweises oder elektronischen Aufenthaltstitels gestatten, wenn es für die Erfüllung besonders gewichtiger, im öffentlichen Interesse liegender Aufgaben zwingend notwendig ist und alternative, eingriffsmildere Verfahren nicht zur Verfügung stehen“.

Kritik hat die Datenschutzbehörde auch am Einsatz „komplexer Datenanalysemethoden“, gemeint sind Big-Data- und KI-Anwendungen wie die von Palantir. Hier empfiehlt Kelbers Behörde zumindest klare Rechtsgrundlagen und geeignete Rahmenbedingungen. Ebenso empfiehlt der BfDI beim geplanten zweiten Teil der Reform des Nachrichtendienstrechts für die Datenerhebung aus dem Internet und deren Weiterverarbeitung durch die Dienste genaue Vorgaben zu machen. Kelber verweist hier auf die Rechtssprechung des Bundesverfassungsgerichtes, das dem Einsatz solcher Technologien Grenzen gesetzt hat.

Transparenz schaffen

Bei der Verwaltungsdigitalisierung und der Registermodernisierung drängt der BfDI zu mehr Transparenz. Hierbei hat die Ampel die Steuer-ID entgegen aller Warnungen von Datenschützer:innen zur Identifikationsnummer gemacht, anhand derer Verwaltungsleistungen erbracht werden. Dies hält Kelber wegen der Gefahr der Profilbildung für verfassungswidrig, er hätte sich grundsätzlich eine andere Lösung gewünscht. Die Bundesregierung fordert er nun auf, zumindest die Transparenz gegenüber den Bürger:innen mit einem „Datenschutzcockpit“ so zu gestalten, dass diese sehen, welche Behörde wann auf die Daten zugegriffen hat. Kelber ermahnt hier, dass diese Transparenz unterlaufen würde, wenn einfach Stellen, die keine Finanzbehörde seien, zu einer solchen erklärt würden.

Auch zum Dauerbrenner Vorratsdatenspeicherung findet Kelber deutliche Worte. Die Bundesregierung solle sich bei der Diskussion für eine grundrechtsschonende Balance aus Freiheit und Sicherheit einsetzen. Konkret verweist Kelber hier auf das alternative Quick-Freeze-Verfahren, das aber wegen Uneinigkeit in der Ampel auf Eis liegt.

Handlungsbedarf sieht Kelber auch beim Fluggastdatengesetz. Hier hat der Europäische Gerichtshof engere Grenzen zum Beispiel bei Speicherfristen gesetzt, die Ampel hat das Gesetz allerdings noch nicht nachgebessert.

Kelber geschasst, weil zu kritisch?

Ein Thema enthält der Jahresbericht allerdings nicht: den umstrittenen Umgang mit dem Bundesdatenschutzbeauftragten Ulrich Kelber selbst. Dessen Amtszeit hat die Koalition nicht verlängert und bislang schweigen sich die Beteiligten aus, warum das so ist. Kelber, der sich selbst für eine weitere Amtszeit beworben hat, ist nur noch „kommissarisch“ im Amt.

Namhafte Digital- und Datenschutzorganisationen sowie Einzelpersonen wie der ehemalige Bundesdatenschutzbeauftragte Peter Schaar beklagen diesen Umgang mit Kelber. In einem offenen Brief heißt es:

Die Vorgänge in Bezug auf die Neu- oder Weiterbesetzung des Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) schaden dem Amt jedoch in noch nie dagewesener Weise. Eine Unklarheit über die Fortführung der Amtsgeschäfte schwächt den gesamten Datenschutz in Bund und Ländern. Nichts fügt dem Datenschutz in Deutschland jedoch einen größeren und nachhaltigeren Schaden zu, als das verheerende Zeichen, dass der BfDI bei seinen unabhängigen Amtsgeschäften nicht sicher vor politischer Sanktion und damit vor politischer Einflussnahme sein kann. Es entsteht der Eindruck, der bisherige Amtsinhaber könnte sich eine mögliche zweite Amtszeit nicht durch den Einsatz für die Sache erarbeiten, sondern insbesondere durch politische Gefügigkeit.

Die Unterzeichnenden fordern die Bundesregierung und den Bundestag auf, schnellstmöglich Klarheit über die Fortführung zu schaffen. Zudem müssten Weichen für die Stärkung der Unabhängigkeit des Bundesbeauftragten durch ein transparentes Benennungsverfahren gestellt werden.