Bundesregierung, Bundestag und Bundesrat haben kurz vor der Sommerpause noch einige Gesetzesvorhaben angeleiert, von denen aber noch nichts final ist, weil die Zustimmung des jeweiligen anderen noch ausstehen. Dennoch wollen wir einen Blick auf die geplanten Vorhaben werfen:
Der Bundesrat möchte, dass die aus den Datenschutzbeauftragten von Bund und Ländern bestehende, bisher informelle Datenschutzkonferenz eine gesetzliche Grundlage erhalten und verbindliche Regeln für alle Aufsichtsbehörden in Deutschland festlegen können soll. Die Beschlüsse sollen vor allem Fragen von grundsätzlicher Bedeutung klären, wie die Auslegung der DSGVO oder die Bewertung neuer Technologien. Jedes Bundesland und der Bund sollen je eine Stimme bekommen. Die Beschlüsse sollen mit einer einfachen Mehrheit gefasst werden können und würden dann alle Mitglieder untereinander binden. Sie sollen aber darüber hinaus keine direkte Bindungswirkung nach außen entfalten und keine einklagbaren Rechte für Dritte begründen, um die föderale Eigenständigkeit der Landesbehörden zu wahren.
Unternehmen und Forschungseinrichtungen, die in mehreren Bundesländern tätig sind, sollen nur noch mit einer einzigen Datenschutzaufsichtsbehörde als zentralem Ansprechpartner kommunizieren müssen. Und wenn die Behörde eines Bundeslands bei länderübergreifenden Sachverhalten ein Verfahren geprüft und genehmigt hat, soll diese Entscheidung auch für alle anderen Bundesländer gelten. Zuständig soll immer die Behörde des Bundeslandes sein, in dem der Verantwortliche mit dem höchsten inländischen Jahresumsatz seinen Sitz hat. Machen die Beteiligten keinen Umsatz, soll die Anzahl der Beschäftigten, die konkret mit der Datenverarbeitung befasst sind, entscheidend sein. Die gebündelte Bearbeitung sollen Verantwortliche durch eine gemeinsame Anzeige bei einer beliebigen zuständigen Behörde beantragen. Und wenn die federführende Behörde die Bündelung nicht innerhalb eines Monats nach Erhalt der vollständigen Unterlagen feststellt, gilt die beantragte Behörde automatisch als zuständig.
Soweit zum Bundesrat – die Bundesregierung will das Problem der Doppelprüfungen und uneinheitlicher Rechtsanwendung auch angehen, aber indem der Bundesdatenschutzbeauftragte die zentrale zuständige Aufsichtsbehörde für die Wirtschaft in ganz Deutschland wird. Diese Kompetenz soll den Länderbeauftragten entzogen werden und beim BfDI neu aufgebaut werden. Die Datenschutzaufsicht im Sicherheitsbereich soll ihm wiederum teilweise entzogen werden. Für den BND und den Verfassungsschutz soll der „Unabhängige Kontrollrat“ zuständig werden, wogegen sich der frühere BfDI Ulrich Kelber vehement ausspricht.
Nachdem die Abschaffung von §38 BDSG im Jahr 2025 noch im Bundesrat gescheitert war, will die Koalition einen neuen Anlauf wagen und die Zahl der Datenschutzbeauftragten in kleineren und mittleren Unternehmen reduzieren. So würde aber nur Expertise verloren gehen und das Thema Datenschutz bei der Geschäftsführung hängen bleiben. Deshalb hat die Bundesregierung schon weitergedacht und will sich bei der EU für pauschale Ausnahmen von der DSGVO für kleine und mittelständische Unternehmen, für Vereine sowie für risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern) einsetzen – unter dem Schlagwort „Moderner Datenschutz für mehr Wachstum“. Allerdings zählen über 99 Prozent der Unternehmen hierzulande zu den sogenannten Kleinen und Mittelständischen Unternehmen (alle bis 249 Beschäftigte), für die die DSGVO dann einfach nicht mehr gelten soll?!
Dabei entscheidet doch nicht die Organisationsform oder die Größe eines Unternehmens darüber, ob dort Daten verarbeitet werden, die für Menschen gefährlich werden können. Auch bei Arztpraxen, Pflegediensten, Personalvermittlern, Softwareanbietern, kleineren Kliniken, Selbsthilfevereinen usw. können hochsensible Daten landen. Um Vereine und KMUs tatsächlich zu entlasten, darauf weist die Berliner Datenschutzbeauftragte Meike Kamp hin, wäre es viel sinnvoller, die Software-Hersteller haftbar zu machen: Denn als einfacher Nutzer von Diensten wie etwa Microsoft 365 kann man an Microsofts Datennutzung gar nichts ändern.
Derweil bereitet das Bundesinnenministerium sich darauf vor, dass der gesamte Bereich Migration – seit Jahren geprägt von Personalmangel – mit KI automatisiert wird. Digitalminister Wildberger meint, KI solle in vielen Fällen selbstständig entscheiden können, ob ein Asylantrag bewilligt oder abgelehnt wird. Das Innenministerium will Behörden nun zunächst erlauben, automatisierte Systeme mit Daten aus Asyl-, Aufenthalts- und Visaverfahren vom BAMF, den Ausländerbehörden und auch der Polizei zu trainieren.
Schließlich geht es in den Bundestag: Dort wurde ein neues Bundespolizeigesetz verabschiedet. (Die Abstimmung muss aber nochmal wiederholt werden.) Eigentlich sollte es entschärft werden, infolge eines Urteils des Bundesverfassungsgerichts aus dem Jahr 2016, wonach heimliche Überwachung nur in engen Grenzen stattfinden darf. Daraus wurde nun eine Verschärfung, die erst drei Tage vor der Abstimmung publik wurde und den Bundeshaushalt knapp eine Milliarde Euro im ersten Jahr kosten soll:
Die Bundespolizei soll an Bahnhöfen KI-Videoüberwachung einsetzen dürfen, die Menschen identifizieren und ihr Verhalten beurteilen kann – biometrische Überwachung in Echtzeit. Die KI soll nach verdächtigen Bewegungsmustern, Waffen und vermeintlich hilflosen Personen Ausschau halten und Personen in Echtzeit identifizieren können. Weitere Regelungen betreffen die Nutzung von Staatstrojanern, Drohnen, Stillen SMS, IMSI-Catchern, Fluggastdaten-Erhebung und Kennzeichenscannern. Der Bundesrat muss dem neuen Bundespolizeigesetz noch zustimmen (2021 hat er die vorhergehende Fassung des Gesetzentwurfes abgelehnt).
In zahlreichen Bundesländern wurden oder werden Gesichter-Suchmaschinen, Megadatenbanken und KI-Kameras bereits erlaubt – in Baden-Württemberg arbeitet die Polizei schon mit Software aus dem Hause Palantir. Nach der Sommerpause soll der Bundestag auch bundesweit die Einführung einer KI-gestützten Mega-Datenbank beschließen, die anhand von Gesichtern und Stimmen selbstständig Verdächtige identifiziert. Zusammengedacht ergibt das ein System, das vollautomatisiert kontrolliert, was Menschen in der Öffentlichkeit tun, sie bei unerwünschtem Verhalten identifiziert und dann gleich auch noch recherchiert, wo sie sich bewegen und mit wem sie bekannt sind…