Die Schufa möchte transparenter werden. Nach jahrelanger Kritik wie dem Vorwurf von manipulativen Geschäftspraktiken soll ein neuer, nachvollziehbarer Score die gewünschte Durchsicht für Nutzer*innen bringen.
Ist bald ein gelüftetes Geheimnis. – Alle Rechte vorbehalten IMAGO / imagebroker
Die Schutzgemeinschaft für allgemeine Kreditsicherung, besser bekannt unter seiner Abkürzung Schufa, führt ab März 2026 einen neuen Score ein. Dieser soll für mehr Transparenz sorgen. Seit dem 3. Dezember gibt es außerdem in einer Beta-Phase die Möglichkeit eines „Dateneinblicks“ in die bonitätsrelevanten Daten, die der Schufa vorliegen. Die Auskunftei stand bislang in der Kritik, Verbraucherschützer bezeichneten sie als „Blackbox“.
Die SCHUFA Holding AG ist ein privates Unternehmen mit Sitz in Wiesbaden, das Auskünfte über die Kreditwürdigkeit von über 65 Millionen Deutschen anbietet. Dritte wie Banken und Online-Händler können sich so über die prognostizierte Zahlungsmoral von möglichen Kund*innen informieren. Die Daten dafür erhält die Schufa ebenfalls von Banken, Kreditkartenunternehmen und Co., ihren rund 10.000 Vertragspartnern.
Eine entscheidende Rolle für diese Bonitätsabfrage spielt der Schufa-Score, der die Kreditwürdigkeit von Verbraucher*innen in einer Zahl zusammenfasst. Ursprünglich setzte sich die Punktzahl aus 250 Kriterien zusammen und ihre Berechnung blieb als Geschäftsgeheimnis unter Verschluss. Der neue Score soll nun auf nur noch zwölf Kriterien beruhen und für alle Verbraucher*innen nachvollziehbar sein. Zu den Kriterien gehören etwa das Alter der ältesten Kreditkarte oder Zahlungsstörungen. Zwischen 100 und 999 Punkte kann man dann bekommen.
„Automatisierte Entscheidung im Einzelfall“ ist grundsätzlich verboten
Im Dezember 2023 stufte der Europäische Gerichtshof das vorherige Scoring der Schufa als „eine von der DSGVO grundsätzlich verbotene ‚automatisierte Entscheidung im Einzelfall’“ ein, „sofern die Kunden der SCHUFA, wie beispielsweise Banken, ihm eine maßgebliche Rolle im Rahmen der Kreditgewährung beimessen“. Außerdem entschied der Gerichtshof, dass private Auskunfteien wie die Schufa Daten aus öffentlichen Insolvenzregistern nicht länger als die Insolvenzregister selbst speichern dürfen, wie es vorher die Praxis war.
Die frühere Ampel-Regierung nahm Anfang 2024 neue Regeln zum Scoring durch Auskunfteien in ihre geplante Reform des Bundesdatenschutzgesetzes auf. Der Paragraph 37a sollte die Nutzung von Namen, Anschriften, personenbezogenen Daten aus Sozialen Netzwerken und die Aktivitäten von Bankkonten durch Scoringunternehmen unterbinden. Die Datenschutz-Novelle schaffte es vor dem Ende der Ampel-Koalition allerdings nicht durch den Bundestag. Eine Neuauflage der Reform durch die aktuelle Regierung steht noch aus.
Jahrelange Kritik
Neben Bedenken an der Schufa aus der Politik sind auch Datenschützer unzufrieden mit den Geschäftspraktiken der Schufa. Im Februar 2024 reichte die österreichische Nichtregierungsorganisation noyb eine Beschwerde und Anzeige gegen die Schufa bei der hessischen Datenschutzbehörde ein. Das Unternehmen manipuliere Kunden, die eine Datenauskunft wollen, zu einer kostenpflichtigen Variante, so der Vorwurf der Datenschützer damals. Martin Baumann, Datenschutzjurist bei noyb, fand dazu klare Worte:
Die DSGVO verlangt, dass Unternehmen alle Daten sofort, kostenlos, leicht zugänglich und transparent zur Verfügung stellen. Diese Anforderungen stehen im deutlichen Widerspruch zur aktuellen Geschäftspraxis, betroffenen Personen Ihre eigenen Daten zu verkaufen.
Die Schufa indes wies diese Vorwürfe immer zurück und betonte, die Vorgaben für die Erstellung von Datenkopien sogar überzuerfüllen.
Ab Ende März 2026 sollen alle Interessierten über einen Account ihren vereinfachten Score kostenlos abrufen und nachvollziehen können. Eine Sprecherin der Schufa bestätigte gegenüber der Süddeutschen Zeitung jedoch auch Pläne des Scoring-Dienstleisters, „meineSchufa-Abonnements“ und andere monetarisierbare Angebote in den neuen Schufa-Account einzubinden.
Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen. Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.
Bei der Budapest Pride am Samstag drohen den Teilnehmenden Strafen, die Polizei darf sogar Gesichtserkennung zur Identifikation einsetzen. Etwa 50 Menschenrechtsorganisationen fordern die EU-Kommission zu sofortigen Handeln gegen den „gefährlichen Präzedenzfall“ auf.
Demonstration gegen das Gesetzespaket, das Pride-Veranstaltungen in Ungarn verbietet. – Alle Rechte vorbehalten IMAGO
Rund 50 Menschenrechts- und Digitalrechtsorganisationen aus ganz Europa fordern die EU-Kommission auf, ein neues Vertragsverletzungsverfahren gegen Ungarn einzuleiten und sofortige Maßnahmen gegen queerfeindliche Gesetze im Land zu ergreifen.
Die Organisationen verweisen auf ein Gesetz, das den Einsatz von Gesichtserkennungssystemen bei der anstehenden Pride-Demonstration in Budapest erlaubt: Es verstoße klar gegen EU-Vorgaben für Künstliche Intelligenz (KI-Verordnung). Die Kommission müsse umgehend handeln um sicherzustellen, dass die Teilnehmenden der für Samstag geplanten Pride ihr Recht auf Versammlung und freie Meinungsäußerung wahrnehmen können. Auch soll sie von den ungarischen Behörden Informationen über den Einsatz und die technischen Details der Gesichtserkennung anfordern. Details hält die Regierung bislang unter Verschluss.
„Gefährlicher Präzedenzfall“
Ungarn hat Mitte März ein Gesetzespaket verabschiedet, das die Organisation und Teilnahme an Veranstaltungen wie der Pride unter Strafe gestellt. Die Regierung begründet dies mit dem angeblichen Schutz Minderjähriger. Seit dem 15. April drohen Geldstrafen und die Polizei darf Echtzeit-Gesichtserkennung einsetzen, um Demonstrierende zu identifizieren – obwohl es sich lediglich um eine Ordnungswidrigkeit handelt.
„Die Europäische Kommission muss sich einschalten und Ungarn und die Welt daran erinnern, dass die EU eine klare rote Linie gegen dystopische, diskriminierende und strafende Nutzungen von Technologien zieht“, fordert Ella Jakubowska, Leiterin der Abteilung Politik bei European Digital Rights (EDRi), welche den Brief mitgezeichnet hat.
Ádám Remport von der Hungarian Civil Liberties Union warnt, das Gesetz bedrohe nicht nur die Privatsphäre, sondern auch die Rechtsstaatlichkeit und eine Vielzahl von Menschenrechten. „Die Europäische Kommission muss entschlossen handeln, um zu verhindern, dass sich ein gefährlicher Präzedenzfall in der gesamten Union etabliert.“
Keine Bücher und Filme zu Queerness
Die Kommission hat bereits rechtliche Schritte gegen Ungarn wegen eines queerfeindlichen Gesetzes aus dem Jahr 2021 eingeleitet, das LGBTQ-Inhalte in Schulen, Buchläden und im Fernsehen verbietet. Kinder und Jugendliche haben seither kaum noch Zugang zu Informationen rund um queere Sexualität oder Transidentität. Werbung oder Sendungen zu diesen Themen sind aus dem Fernsehen verschwunden, Bücher dürfen nicht mehr offen im Buchladen ausliegen.
Anfang Juni stellte die Generalanwältin des von der Kommission angerufenen Europäischen Gerichtshof (EuGH) fest, dass das Gesetz und seine Argumentation, es gehe um den Schutz von Kindern, auf „Vorurteilen dazu beruht, dass das Leben von Homosexuellen und Nicht-Cisgender [Transgender] nicht den gleichen Wert hat”. Das Gericht hat noch kein Urteil gefällt, folgt aber meist der Einschätzung aus der Schlusserklärung.
Das „Kinderschutzgesetz“ dient auch als Rechtsgrundlage für das aktuelle Verbot von Versammlungen im Zusammenhang mit Queerness. Zwei queere Veranstaltungen wurden bereits auf Basis dieses Gesetzes untersagt, schreiben die Organisationen an die Kommission.
Bürgermeister widersetzt sich dem Verbot
Lange war ungewiss, ob und wie die traditionelle Budapest Pride in diesem Jahr stattfinden würde. Nach dem Verbot im März hatten die Veranstalter*innen angekündigt, an der Veranstaltungen festzuhalten. In der Folge begann ein Katz-und-Maus-Spiel zwischen der Budapester Polizei und der Stiftung, die die Pride ausrichtet. Die Organisator*innen versuchten zunächst, das Verbot zu umgehen, indem sie mehrere Veranstaltungen für denselben Tag anmeldeten. Die Polizei hat sie alle verboten.
Schließlich schaltetet sich Mitte Juni der liberale Bürgermeister von Budapest Gergely Karácsony ein. Gemeinsam mit dem Sprecher der Budapest Pride kündigte er per Video an, die Stadt werde die Veranstaltung als kommunalen „Tag der Freiheit“ ausrichten. Als Teil der Feierlichkeiten werde es auch eine Prozession durch die Innenstadt geben.
Dabei handele es sich um keine Demonstration. „Es wird keine Lastwagen, keine Tänzer*innen und keine Sexualität in irgendeiner Form geben“, schrieb er an die Polizei. Doch auch diese Veranstaltung hat die Polizei mittlerweile verboten. Sie verstoße gegen das neue Gesetz, argumentiert Polizeichef Tamas Terdik in dem 16-seitigen Dokument.
Der Bürgermeister hält daran fest, das Verbot sei irrelevant. Die Veranstaltung könne nicht verboten werden, weil sie nie als Demonstration angemeldet war. „Die Polizeibehörde von Budapest hat ein Verbot für eine nicht existierende Versammlung erlassen und hätte mit derselben Härte auch Einhörner verbieten können.“
EU-Abgeordnete und Bürgermeister*innen laufen mit
Zu der Veranstaltung am Samstag werden mehrere Zehntausend Menschen erwartet. Mehr als 70 Abgeordnete des EU-Parlaments haben bereits ihre Teilnahme angekündigt, darunter die Vorsitzende der Sozialisten und Demokraten (S&D) Iratxe García, die Vorsitzende der Liberalen Renew Europe Valérie Hayer und die Co-Vorsitzende der Grünen-Fraktion Terry Reintke.
Die niederländische Staatssekretärin für Bildung und mehrere Bürgermeister*innen großer europäischer Hauptstädte werden ebenfalls anwesend sein.
Die EU-Kommissarin für Gleichstellung Hadja Lahbib hatte ihre Teilnahme davon anhängig gemacht, ob die Veranstaltung verboten wird. In dem Fall hat sie angekündigt, sich am Vortag mit Aktivist*innen treffen zu wollen, aber nicht an der Pride teilzunehmen.
Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen. Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.
Die Fingerkuppen von Menschen sind biometrische Merkmale. – Public Domain Anna Roguszczak
Ein deutscher Kläger bringt die Zwangsabgabe von biometrischen Merkmalen vor das europäische Höchstgericht: Das Verwaltungsgericht Wiesbaden sieht grundsätzliche Rechtsprobleme, wenn für den Besitz eines Personalausweises die Abgabe der Fingerabdrücke verpflichtend ist. In einem Beschluss (pdf) legt das Gericht diese Rechtsfragen dem Europäischen Gerichtshof (EuGH) vor.
Die Verpflichtung für über dreihundert Millionen EU-Bürger, zwei Fingerabdrücke auf dem Ausweis in digitaler Form speichern zu lassen, geht auf die EU-Verordnung 2019/1175 zurück. Das Verwaltungsgericht begründet in seinem Beschluss seine Zweifel daran, dass die entsprechenden Vorschriften in dieser EU-Verordnung unionsrechtskonform sind. Zum einen bestünden rechtliche Zweifel schon durch das Zustandekommen der Verordnung außerhalb des eigentlich vorgeschriebenen ordentlichen Gesetzgebungsverfahrens, zum anderen sieht das Gericht die Europäische Grundrechtecharta verletzt. Das betrifft die Artikel 7 und 8 der Charta, die das Recht auf Achtung des Privat- und Familienlebens, der Wohnung und der Kommunikation sowie das Recht jeder Person auf Schutz der sie betreffenden personenbezogenen Daten festschreiben.
Außerdem legt das Gericht in seinem Beschluss dar, dass die Datenschutzgrundverordnung missachtet wurde. Es bezieht sich dabei auf Artikel 35 der DSGVO, in dem eine Datenschutz-Folgenabschätzung vorgeschrieben ist. Bevor eine Verarbeitung von sensiblen Daten wie Fingerabdrücken erfolgt, sollen dadurch vorab die Risiken analysiert werden. Eine solche Datenschutz-Folgenabschätzung hat es aber nicht gegeben.
Der Kläger wird vom Verein digitalcourage unterstützt, der gegenüber netzpolitik.org erklärt, die Fingerabdruck-Speicherpflicht verletze „unsere Grundrechte auf Privatsphäre und den Schutz unserer personenbezogenen Daten“. Der Verein bezweifelt auch, dass die auf dem Personalausweis gespeicherten Fingerabdrücke zu der versprochenen verbesserten Fälschungssicherheit führen. Wie auch das Gericht in seinem Beschluss darlegt, wäre damit nicht einmal die Notwendigkeit des schwerwiegenden rechtlichen Eingriffs einer zwangsweisen Abgabe von persönlichen Biometriedaten gegeben. Die Speicherung der Fingerabdrücke auf dem Personalausweis sei „ein unverhältnismäßiger Eingriff“, so digitalcourage.
Ein Musterexemplar des deutschen Personalausweises. - Public Domain Bundesrepublik Deutschland, Bundesministerium des Innern
Die Mehrheit von CDU, CSU und SPD im Bundestag hatte auf Grundlage der Verordnung im Jahr 2020 die verpflichtende Speicherung von Fingerabdrücken im deutschen Personalausweis beschlossen. In den dezentralen Melderegistern der Kommunen werden die biometrischen Daten zwar nicht gespeichert, aber auf einem Chip, der in der Plastikkarte des Ausweises eingelassen ist. In Deutschland werden – sofern das bei der beantragenden Person möglich ist – Abdrücke von beiden Zeigefingern genommen. Die EU-Verordnung sieht allerdings keine Festlegung auf einen bestimmten Finger vor.
Zuvor freiwillig, jetzt Pflicht: Fingerabdruck-Abgabe
Seit August 2021 müssen alle Menschen in Deutschland beim Beantragen eines Personalausweises zwei Fingerabdrücke hinterlassen. Das rief Kritiker auf den Plan: Bürgerrechtsorganisationen bewerteten diese Fingerabdruck-Pflicht als unvereinbar mit dem Grundgesetz. Schon im Prozess des Entstehens der Verordnung war auch der EU-Kommission bescheinigt worden, das Vorhaben sei ungerechtfertigt und nicht notwendig.
Doch was zuvor in Deutschland freiwillig war, wurde dennoch zur Pflicht. Das Fingerabdruck-Prozedere auf dem Amt kennen viele Menschen schon vom Reisepass, denn da besteht der Zwang schon einige Jahre länger. Die Verpflichtung zur Abgabe zweier Fingerabdrücke bei der Ausweisbeantragung ergibt sich konkret aus § 5 Abs. 9 des deutschen Personalausweisgesetzes, der wiederum auf der EU-Verordnung zur Erhöhung der Sicherheit der Personalausweise und Aufenthaltsdokumente beruht.
Gegen die Fingerabdruckabnahme wehrte sich ein Bürger und verlangte auf dem Amt einen Ausweis ohne die biometrische Vermessung. Als ihm das verwehrt wurde, zog er vor Gericht.
Das Verwaltungsgericht Wiesbaden hat überaus schnell reagiert und mit seinem Beschluss nun den EuGH hinzugezogen. Mit sehr hoher Wahrscheinlichkeit wird das europäische Höchstgericht erneut über die zwangsweise Erfassung von Fingerabdrücken entscheiden. Die anlassunabhängige Vermessung der biometrischen Merkmale von Menschen für ihre Identifikationspapiere ist nicht das erste Mal ein Fall für den EuGH. Zuletzt war dazu vor acht Jahren ein Urteil (vom 17. Oktober 2013) ergangen. Der damalige deutsche Kläger, der einen Reisepass ohne Fingerabdrücke ausgestellt bekommen wollte und mit seinem Fall ebenfalls in Luxemburg landete, hatte allerdings keinen Erfolg.
Im Beschluss des Wiesbadener Verwaltungsgerichts wird entsprechend betont und auch schlüssig begründet, dass die Funktion eines Ausweises nicht mit der eines Reisepasses vergleichbar sei. Die Chancen des Klägers dürften also hoch sein, dass der EuGH den Fall aufgreift.
Für den Fälschungsschutz ungeeignet
Dass diese obligatorische Abnahme von Fingerabdrücken ein Eingriff in Grundrechte ist, steht außer Frage. Artikel 7 und 8 der Grundrechtecharta sind klar betroffen. Aber ist er auch ungerechtfertigt und unverhältnismäßig? Dazu gehört die Frage, ob nicht auch geringere Eingriffe ausgereicht hätten.
Die EU-Verordnung 2019/1157 soll dem Schutz vor Fälschungen dienen und eine verlässliche Verbindung zwischen dem Inhaber und seinem Ausweis herstellen, um einer betrügerischen Verwendung vorzubeugen. In Erwägungsgrund 18 heißt es:
Die Speicherung eines Gesichtsbilds und zweier Fingerabdrücke […] auf Personalausweisen und Aufenthaltskarten […] stellt eine geeignete Kombination einer zuverlässigen Identifizierung und Echtheitsprüfung im Hinblick auf eine Verringerung des Betrugsrisikos dar, um die Sicherheit von Personalausweisen und Aufenthaltskarten zu verbessern.
Dass die Aufnahme von Fingerabdrücken für den Fälschungsschutz geeignet ist und damit Betrug und Identitätsdiebstahl verhindern kann, bezweifelt das VG Wiesbaden in seinem Beschluss ausdrücklich. Wenn schon das Gesicht einer Person zum Abgleich vorhanden ist, erschließt sich nicht, warum ein zweites Merkmal wie der Fingerabdruck erforderlich sein soll.
Im Erwägungsgrund 19 der Verordnung ist auch geregelt, dass die EU-Mitgliedstaaten zur Überprüfung der Identität eines Ausweisinhabers vorrangig das Gesichtsbild prüfen. Die Fingerabdrücke sollen höchstens bestätigend überprüft werden.
Der Beschluss des Gerichts greift mehrfach die Stellungnahme des Europäischen Datenschutzbeauftragten zur geplanten Einführung der Speicherung von Fingerabdrücken in Personalausweisen (pdf) aus dem Jahr 2018 auf, der weit vor dem Inkrafttreten schon kritisiert hatte, dass die Notwendigkeit des Fingerabdruckszwangs nicht begründet sei. Mit weniger eingriffsintensiven Maßnahmen könnte man das Ziel der Fälschungssicherheit auch erreichen, argumentierte er. Biometrische Daten seien nach EU-Recht besonders schützenswert, zumal wenn hier 370 Millionen Menschen betroffen sind.
Gefahr des Identitätsdiebstahls
Der Anwalt des Klägers, Wilhelm Achelpöhler, hatte die Klage erst Ende Dezember eingereicht. Der Beschluss des Gerichts erfolgte also sehr schnell, betont der Rechtsanwalt gegenüber netzpolitik.org. Wenn der Vorlagebeschluss des Verwaltungsgerichts Wiesbaden an den EuGH übermittelt worden sei, könnten neben dem Kläger und der beklagten deutschen Stadt auch die EU-Mitgliedstaaten und die EU-Kommission binnen zwei Monaten Schriftsätze an den Gerichtshof senden.
Nach den schriftlichen Stellungnahmen erwartet Achelpöhler eine mündliche Verhandlung am Gerichtshof. Der Anwalt sieht gegenüber netzpolitik.org seine Argumentation durch den Beschluss des Verwaltungsgerichts insgesamt bestätigt und wird auch beim EuGH den Mandanten vertreten.
Die Richter des Verwaltungsgerichts gehen über die Argumente in der Klage teilweise sogar hinaus und verweisen in ihrem Beschluss auch darauf, dass in den Ausweisen der gesamte Fingerabdruck gespeichert wird und nicht nur partielle Informationen. Dadurch erhöhe sich das Risiko eines Identitätsdiebstahls. Statt des gesamten Abdrucks hätten auch nur Teile der Minuzien auf den Fingerkuppen verwendet werden können, aus denen ein ganzer Fingerabdruck nicht mehr rekonstruierbar wäre. Darauf hatte bereits der Europäische Datenschutzbeauftragte hingewiesen.
Auch digitalcourage sieht eine Gefahr des Identitätsdiebstahls und eines „Datenlecks“, die unweigerlich bestünden. Konstantin Macher von Digitalcourage erklärte dazu in einer Pressemitteilung des Vereins vom 27. Januar: „Erfahrungsgemäß ist bei einem Datenleck die Frage nicht ob, sondern wann es passiert. Die Speicherung unserer kompletten Fingerabdrücke vergrößert die Gefahr eines Identitätsdiebstahls, sobald der RFID-Chip geknackt ist.“
Auf Nachfrage von netzpolitik.org, was mit dem „Knacken des RFID-Chips“ technisch gemeint sei, erklärt Macher, dass auch der Fall bedacht werden müsse, „wenn sich eines Tages die Verschlüsselung der Daten auf dem Personalausweis als nicht (mehr) sicher herausstellen sollte“. Denn auch eine starke Verschlüsselung könne keine absolute Sicherheit garantieren.
Vier Innenminister
Den Ausweis mit Chip gibt es seit mehr als elf Jahren, der Biometrie-Reisepass mit Chip wurde sogar schon einige Jahre zuvor eingeführt. Über 62 Millionen Deutsche besitzen mittlerweile ein Ausweis-Exemplar mit einem Funk-Chip (RFID).
Immerhin vier Innenminister haben ihren Anteil daran: Otto Schily (SPD) hatte nach dem elften September die Biometrie-Idee zunächst für den Reisepass stark protegiert, Wolfgang Schäuble (CDU) brachte sie durch das Bundeskabinett, Thomas de Maizière (CDU) durfte den Personalausweis mit biometrischen Daten und funkendem Chip präsentieren und Horst Seehofer (CSU) verpflichtete die Ausweisbesitzer zuletzt auch noch zur Fingerabdruckabgabe.
Die biometrischen Daten des Chips dürfen Polizeien, Zollverwaltung, Steuerfahndung und Meldebehörden auslesen, nicht aber private Akteure. Alle Personalausweise bleiben allerdings auch dann gültige Ausweisdokumente, wenn der Chip den Geist aufgibt und nicht mehr auslesbar ist. Die Fingerabdrücke sind dann verloren – anders als die Gesichtsbilder, die zwar dann auch nicht mehr digital ausgelesen werden können, aber wenigstens aufgedruckt sind und noch mit dem Gesicht des Inhabers verglichen werden können.
Viele glauben, dass es in Deutschland eine Personalausweispflicht gibt, aber das stimmt so nicht. Denn nach § 1 Abs. 2 Satz 3 des Personalausweisgesetzes besteht keine Pflicht zum Besitz eines Personalausweises. Wer etwa einen gültigen Reisepass hat, muss keinen Personalausweis besitzen. Eine „Ausweispflicht“ besteht also zwar, aber nicht im Wortsinn: Man muss sich mit einem hoheitlichen Dokument ausweisen können, nicht unbedingt aber mit einem Personalausweis. Dennoch zeigt schon die hohe Anzahl der Ausweise, die im Umlauf sind, dass die große Mehrheit der Deutschen einen Personalausweis hat.
Allein deswegen betrifft die EuGH-Vorlage des Verwaltungsgerichts Millionen Bürger und ihre persönlichen Biometriedaten. Sollte der EuGH im Sinne der Grundrechte entscheiden und die zwangsweise Erhebung der Fingerabdruckdaten für unverhältnismäßig befinden, dann wäre die Entscheidung nicht nur für den Kläger von Bedeutung, sondern verbindlich für alle EU-Staaten. Die verpflichtende biometrische Vermessung der Fingerkuppen könnte dann ein Ende finden.
Der Ruf nach einer Enteignung von Deutsche Wohnen brachte im Sommer zahlreiche Demonstrant*innen auf die Straße. – Alle Rechte vorbehalten IMAGO / IPON
Die unrechtmäßige Speicherung von sensiblen Daten von Mieter*innen durch den Immobilienkonzern Deutsche Wohnen landet vor dem Europäischen Gerichtshof. Das Kammergericht Berlin legte dem EuGH kurz vor Weihnachten zwei Fragen zu dem Fall vor, wie ein Sprecher des EU-Gerichts auf Anfrage von netzpolitik.org bestätigte.
Hohe Mieten und fehlende Reparaturen in den rund 160.000 Wohnungen von Deutsche Wohnen in Berlin lieferten den Anlass für den Volksentscheid „Deutsche Wohnen und Co. enteignen“, dem im September 2021 eine Mehrheit der Wahlbevölkerung Berlins zustimmte. Ärger gibt es für den Konzern aber auch mit dem Datenschutz. Denn Deutsche Wohnen speichert massenhaft Daten wie etwa Kopien von Personalausweisen, Kontoauszüge, Gehaltsbescheinigungen und Krankenversicherungsdaten. Das ist zumindest bei Ausweisen nicht rechtens – Vermieter*innen dürften bei Mietinteressent*innen diese zwar überprüfen, die Anfertigung einer Ausweiskopie sei aber „nicht erforderlich und damit unzulässig“, heißt es von der Datenschutzkonferenz.
Auch müsste der Konzern eigentlich nicht mehr erforderliche Daten löschen, doch das tat er nach Angaben der Berliner Datenschutzbehörde jahrelang und trotz mehrfacher Aufforderungen nicht.
Rechtswiderspruch rüttelt an Konzernstrafen
Ein 14,5-Millionen-Euro-Bußgeld der Behörde hob das Landgericht Berlin wegen eines bizarren rechtlichen Widerspruchs wieder auf. Die Datenschutzgrundverordnung der EU sieht bei Fehlverhalten von Unternehmen Bußgelder von bis zu vier Prozent ihres Jahresumsatzes vor. Doch das Landgericht Berlin urteilte, dass juristische Personen wie Deutsche Wohnen nur dann bestraft werden können, wenn einem konkreten Verantwortlichen bei der Firma Fehlverhalten nachgewiesen werden kann. Dies sei im deutschen Recht so angelegt.
Doch dies widerspreche geltendem EU-Recht, argumentiert die Berliner Datenschutzbehörde. „Im Ergebnis würde es dazu führen, dass in Deutschland – im Gegensatz zu vielen anderen Mitgliedstaaten – ein Bußgeld gegen große Unternehmen aufgrund der komplexen Unternehmensstruktur häufig nicht nachweisbar wäre.“
Das Kammergericht Berlin lässt die Sache nun vom Europäischen Gerichtshof in Luxemburg prüfen. Es müsse geklärt werden, ob nur das Fehlverhalten einzelner Verantwortlicher zu Bußgeldern führen könne. Auch will das Berliner Gericht wissen, wie handfest Verstöße sein müssten, um für Bußgelder zu sorgen. Die Berliner Datenschutzbehörde teilte auf unsere Anfrage mit, sie begrüße die Einschaltung des EuGH und hoffe, dass eine höchstgerichtliche Klärung „zu einer einheitliche Anwendung der DSGVO in allen Mitgliedstaaten und damit zur erforderlichen Rechtssicherheit führt – nicht nur für die Aufsichtsbehörden, sondern auch für die datenverarbeitenden Unternehmen.“
Ob Deutsche Wohnen inzwischen der Aufforderung der Datenschutzbehörde zur Löschung unnötiger Daten nachgekommen ist und sein Datenmanagement verbessert hat, ist unklar. Der Konzern antwortete auf eine Presseanfrage von netzpolitik.org, er wolle das Thema aufgrund des noch laufenden Verfahrens nicht kommentieren.
Sie lassen nicht ab: Digitalcourage, der AK Vorrat und 23 betroffene prominente Verbände, Künstlerinnen, Journalisten, Anwältinnen und Ärzte gehen weiter gegen die Vorratsdatenspeicherung (VDS) vor. Das lose Bündnis hat letzte Woche seinen Antrag vor dem Bundesverfassungsgericht angepasst, um auf die im Dezember in Kraft getretene Novelle des Telekommunikationsgesetzes (TKG) zu reagieren.
Obwohl die anlasslose Speicherung von Verbindungs- und Standortdaten aller Nutzer:innen aufgrund von Verfahren vor dem Europäischen Gerichtshof (EuGH) hierzulande ausgesetzt ist, übernahm die vergangene schwarz-rote Koalition die auf Eis liegende Regelung praktisch wortgleich in das neue TKG. Würde der EuGH ein ihr genehmes Urteil sprechen, so die Überlegung der damaligen Regierung, könnte die VDS unmittelbar und ohne langwierige Gesetzesänderung umgesetzt werden.
Das wollen die Aktivist:innen verhindern. Ihre ursprüngliche Verfassungsbeschwerde stammt aus dem Jahr 2016, an ihrer Kritik ändern auch die neu nummerierten, aber inhaltlich unveränderten Paragrafen nichts. Zudem gelte laut dem EU-Abgeordneten Patrick Breyer: „Selbst wenn eine IP-Vorratsdatenspeicherung rechtlich machbar wäre, dürfen nicht alle Internetnutzer unter Generalverdacht gestellt und die Anonymität im Netz abgeschafft werden“, so der Pirat in einer Pressemitteilung.
Regelung könnte auch Messenger treffen
Die aktualisierte Verfassungsbeschwerde weist etwa darauf hin, dass unter Umständen bestimmte Messenger-Dienste von der VDS-Regelung betroffen sein könnten, die Zweckbindung der gesammelten Daten unzureichend ausfalle und Vertrauensberufe wie Anwält:innen oder Ärzt:innen nicht genügend geschützt seien.
Abgesehen hat es die Beschwerde aber auch auf die Vorratsdatenspeicherung von IP-Adressen. „Eine generelle und undifferenzierte Vorratsspeicherung der Identität der Internet-Nutzer würde die Erstellung aussagekräftiger Persönlichkeits- und Bewegungsprofile praktisch jeden Bürgers in noch höherem Maße als durch den Rückgriff auf Telefon-Verbindungsdaten ermöglichen“, heißt es in dem Schreiben.
Die Kenntnis der IP-Adressen von Internetnutzer:innen mache potenziell deren gesamte Internetnutzung sowie ihre Aufenthaltsorte nachvollziehbar, warnen die Aktivist:innen. Eine generelle und undifferenzierte VDS würde das Ende der Anonymität im Internet bedeuten und zu einer Verhaltensänderung von Bürger:innen führen – obwohl es keine belastbaren Untersuchungen gebe, die einen Zusammenhang zwischen Aufklärungsquote und anderorts in Kraft befindlicher VDS belegen könne.
Quick Freeze als Ausweg?
Für das umstrittene Überwachungsinstrument wird es ohnehin eng. Auf EU-Ebene erteilte ihm der EuGH-Generalanwalt Manuel Campos Sánchez-Bordona jüngst eine Absage. Oft folgt das Gericht den Empfehlungen des Generalanwalts, ein Urteil in dem Verfahren wird für das kommende Jahr erwartet. Zugleich ist erfahrungsgemäß davon auszugehen, dass selbst eine erneute Schlappe vor Gericht den „Zombie VDS“ nicht totkriegen wird.
In Deutschland will der neue Bundesjustizminister Marco Buschmann (FDP) die VDS hingegen „endgültig aus dem Gesetz streichen“, bestätigte er letzte Woche die Position der Ampel-Koalition. Stattdessen dürfte wohl Quick Freeze zum Einsatz kommen. In solchen Fällen werden Vorratsdaten erst nach einem konkreten Anfangsverdacht und einer gerichtlichen Anordnung „eingefroren“ und Ermittlungsbehörden zur Auswertung übergeben. Richtig umgesetzt gilt dieser Ansatz als grundrechtsschonende Alternative zur Vorratsdatenspeicherung und wird von Breyer, aber etwa auch vom Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, befürwortet.
