Bundesdigitalminister Karsten Wildberger ist überzeugt, dass die hauseigene KI-Software „Spark Workflow“ Verwaltungsprozesse deutlich beschleunigen wird. Doch noch seien etliche Fragen offen, die auch der Minister nicht beantworte, sagt Digitalexperte Stefan Kaufmann. Er plädiert für einen alternativen Ansatz, um die Verwaltung zu modernisieren.

Bürokratierückbau, Modernisierung des Staates und eine effizientere öffentliche Verwaltung – gebetsmühlenartig wiederholt die Bundesregierung die im Koalitionsvertrag festgeschriebenen Ziele. Digitalminister Karsten Wildberger (CDU) will die öffentliche Verwaltung vor allem mit Hilfe generativer KI modernisieren. Darüber hinaus sollen KI-Agenten Genehmigungsverfahren um bis zu 50 Prozent beschleunigen und so Mitarbeiter:innen entlasten. Zu Jahresanfang hatte Wildberger sogar noch von 80 Prozent Beschleunigung gesprochen.

Seine Hoffnungen setzt der Minister dabei vor allem auf Spark Workflow. Das sind KI-Agenten, die den Ablauf von Verwaltungsverfahren durchgängig abbilden sollen. Im Gespräch mit netzpolitik.org ordnet Stefan Kaufmann ein, was nach jetzigem Wissensstand von Spark Workflow zu erwarten ist. Kaufmann ist Experte für Open Data und Verwaltungsdigitalisierung und beschäftigt sich auch privat mit Spark Workflow und den offenen Fragen des Projekts.

netzpolitik.org: Das Bundesministerium für Digitales und Staatsmodernisierung (BMDS) will Spark Workflow in die öffentliche Verwaltung bringen. Was tut das Programm?

Stefan Kaufmann: Spark Workflow soll dabei helfen, Genehmigungsverfahren schneller zu bearbeiten. Nach allem, was wir zurzeit über das Programm wissen, arbeitet es in mehreren Schritten. Zunächst soll es Word-Dokumente, PDFs und PowerPoint-Dokumente in Markdown übersetzen, damit der Inhalt des Dokuments überhaupt analysierbar wird. Mit der Markdown-Syntax werden Struktur und Inhalte leichter maschinell auswertbar.

Anschließend wirft das Programm die aufbereiteten Inhalte nach und nach gegen Sprachmodelle und die wenden darauf festgelegte Prompts an, also Eingaben an das KI-System. Das Programm soll so einen Antrag auf Vollständigkeit und Plausibilität prüfen und eine rechtliche Einordnung vornehmen.

„Es braucht hundertprozentige Verlässlichkeit“

netzpolitik.org: Wie funktioniert das genau?

Stefan Kaufmann: Das ist nicht so leicht zu sagen. Zwar ist der Code auf openCode öffentlich einsehbar. Aber es fehlt eine Gesamtdokumentation. Die öffentlich zugänglichen Informationen zum Projekt lassen kaum Rückschlüsse darauf zu, wie die einzelnen Spark-Module im Detail funktionieren sollen und was die allgemeine Erwartungshaltung an das Programm ist.

So fehlt auch ein Gütetest: Tut das System, was es soll? Entsprechende Kriterien müsste man vorher definieren. Das wäre ein wissenschaftliches Vorgehen. Wenn ich ein Medikament teste, formuliere ich solche Kriterien auch, führe Doppel-Blindstudien durch und prüfe, ob meine Erwartung an die Wirkung des Medikaments erfüllt ist. Bei Spark Workflow ist so etwas bislang nicht erkennbar.

Außerdem müsste man zuvor definieren, was eine akzeptable Fehlerquote ist. Dass die generative KI unterschiedliche Ergebnisse auswerfen kann, auch wenn man dieselbe Abfrage macht, ließe sich systematisch testen. Man könnte einen Musterantrag mehrmals durch das System laufen lassen und die Ergebnisse speichern. Anschließend könnte man die Varianzen zwischen den Ergebnissen untersuchen. Wie man die dann bewertet, hängt davon ab, welche Abweichung als akzeptabel gilt.

Angenommen von 100 Anträgen wird einer falsch positiv oder einer falsch negativ bewilligt. Ist das dann ein akzeptables Ergebnis? Das müsste man diskutieren und definieren. Ich bin der Überzeugung, bei einer maschinellen Auswertung von Anträgen braucht es eine hundertprozentige Verlässlichkeit. Aber das ist eine politische Frage.

Mit Markdown zur „symbolischen KI“

netzpolitik.org: Gehen wir kurz noch einen Schritt zurück: Inhalte aus Dokumenten in Markdown zu übersetzen, das ist doch sinnvoll, oder?

Stefan Kaufmann: Ja, wenn man aber bei Spark Workflow schon diesen Schritt geht, könnte man noch einen Schritt weitergehen: nämlich die Anträge so gestalten, dass sie direkt in Markdown vorliegen. Damit könnte man auf Sprachmodelle verzichten und hätte einen Schritt hin zu einer verlässlichen und schnell verfügbaren Datenbasis zurückgelegt.

netzpolitik.org: Warum wäre das sinnvoll?

Stefan Kaufmann: Beispielsweise kann man mit Begriffen viel besser umgehen, die je nach Kontext eine andere Bedeutung haben, wie etwa der Begriff „Einkommen“. Durch eine passende Datenkodierung könnte man sicherstellen, dass das System jeweils den richtigen Einkommensbegriff erfasst. So etwa arbeitet die sogenannte symbolische KI, nach Regeln von Logik und Mathematik.

Die hat einen wesentlichen Vorteil: Auch wenn ich dieselbe Abfrage hundertmal vornehme, ich erhalte immer dasselbe Ergebnis. Bei diesem System bin ich lediglich darauf angewiesen, dass die zugrunde liegenden Sachverhaltsdarstellungen in einem maschinell auswertbaren Format vorliegen. Die Korrektheit des Ergebnisses hängt hier nicht davon ab, dass das System zufällig das richtige Ergebnis ausspuckt, sondern das folgt logisch aus den verarbeiteten Daten.

Digitalministerium will KI-Agenten für die Verwaltung

netzpolitik.org: Wie unterscheiden sich Sprachmodelle von der symbolischen KI?

Stefan Kaufmann: Sprachmodelle sind den sogenannten konnektionistischen KI-Modellen zuzuordnen. Das sind all die Modelle, die auf stochastischen Verfahren basieren, die nach dem Prinzip der Wahrscheinlichkeit funktionieren. Ein klassischer konnektionistischer KI-Ansatz ist maschinelles Lernen. Eine Untergruppe davon ist Deep Learning und daneben gibt es eben die großen Sprachmodelle. Gesichtserkennung ist beispielsweise ein klassischer konnektionistischer Ansatz. Da kann ich ein Gesicht mit einer gewissen Wahrscheinlichkeit erkennen, die liegt dann irgendwo zwischen 0 und 100 Prozent. Diese Konfidenz, eine Art Kennzahl über die Gewissheit, kann ich mir oft auch anzeigen lassen.

Bei symbolischer KI gibt es eigentlich nur die Ergebnisse 0 und 1. Entweder die Ausgabe ist richtig oder die Anfrage nicht beantwortbar, etwa wenn die Datenlage das nicht hergibt.

Mehr Effizienz mit maschinenlesbaren Daten

netzpolitik.org: Wie kommt es, dass die öffentliche Verwaltung mit Dokumenten in unterschiedlichen und nicht maschinenlesbaren Formaten arbeitet?

Stefan Kaufmann: Menschen lernen schon in der Schule, dass sie Texte mit Microsoft Word schreiben. Wir alle sind in gewisser Weise darauf „trainiert“ worden. Die meisten verfassen auch in ihrem Berufsleben Dokumente so, dass sie für Menschen lesbar sind.

Zum Beispiel ein PDF-Dokument, in dem Tabellen enthalten sind. Zwar ist die Darstellung digital. Aber eine automatische mathematische Auswertung der Inhalte ist sehr viel schwieriger, als wenn die ursprüngliche Tabelle im CSV-Format vorliegen würde – oder noch besser: als Linked Data. Wären die Inhalte maschinenlesbar aufbereitet, wäre das ein Riesenschritt in Richtung einer verlässlichen Auswertung.

netzpolitik.org: Wie bewertest du die Entscheidung, dass die öffentliche Verwaltung diesen Weg bislang nicht eingeschlagen hat und stattdessen zumindest auf Entscheider-Ebene auf generative KI setzt?

Stefan Kaufmann: Benjamin Degenhardt hat das neulich sehr schön eingeordnet: Der Weg hin zu semantischer Datenhaltung, also etwa besserer Maschinenlesbarkeit, sei strategisch der weitsichtige und auch der einzig sinnvolle. Ich stimme ihm da voll zu.

Degenhart ist Wissensingenieur und engagiert sich für Open Source, Linked Open Data, Graphen und Nachhaltigkeit.

Damit ließen sich alle Vorteile des automatisierten Rechnens nutzen, ohne irgendwelche Abstriche machen zu müssen. In strukturierte Daten zu investieren, wäre nachhaltig. Damit könnte man Mitarbeiter:innen in der Verwaltung nicht nur Arbeit abnehmen, man könnte gleichzeitig Kompetenz vorantreiben, besser mit Daten umzugehen, also mit Fokus auf Maschinenlesbarkeit. Da wäre deutlich mehr Effizienz zu gewinnen, während man die Grundsätze von Verwaltungshandeln wie Gleichheitsgrundsatz oder Verlässlichkeit nicht infrage stellen müsste.

Die Existenz generativer KI-Systeme verleitet dazu, Workarounds zu bauen, weil die momentan durch die Verfügbarkeit solcher Systeme günstig erscheinen. Ich kann damit kurzfristig einen Erfolg erzielen und komme meinem Ziel augenscheinlich näher. Bei genauer Betrachtung wird aber klar: Ich verbaue mir damit gleichzeitig, das gesamte System zu ertüchtigen.

netzpolitik.org: Wie kann man sich das vorstellen?

Stefan Kaufmann: Ich versuche, das an einem Bild zu erklären. Es gibt ein Ministerium, das eine desolate Wasser-Verrohrung hat. Eigentlich ist allen klar, wir sind hier auf dem Stand, der nicht mehr tragbar ist. Das sind technische Schulden. Wir müssten diese Infrastruktur von Grund auf neu festigen. Denn bislang haben Mitarbeitende das Wasser in Eimern von A nach B getragen. Statt die Infrastruktur zu erneuern, nimmt das Ministerium das Angebot einer Firma an. Sie sponsert billige Arbeiter:innen, die den Ministeriumsmitarbeiter:innen das Wassertragen abnehmen.

Diese Lösung reduziert vorerst das akute Defizit. Fraglich ist: Wollen wir, dass da Menschen das Wasser hin und her tragen? Ist das langfristig wirtschaftlich? Oder wollen wir nicht eher eine Situation, wo ich den Wasserhahn aufdrehe und das Wasser einfach läuft, Wasser as a service sozusagen?

„Ich halte es für eine Ausrede“

netzpolitik.org: Welche Gefahr siehst du bei Spark Workflow?

Stefan Kaufmann: Weniger eine Gefahr, mir fällt aber auf, dass vieles von dem, was gerade verhandelt wird, auf Kategorienfehlern basiert. Dass hier eine agentische KI am Werk sei, die 50 oder gar 80 Prozent der Arbeit abnehmen könne, sind zunächst Behauptungen. Das lässt sich nicht überprüfen. Ich habe die Befürchtung, dass die Verantwortlichen im BMDS Annahmen anhängen, wie solche Systeme arbeiten und welche Leistung sie erzielen können, die sich schwer belegen lassen.

Es ist durchaus möglich, dass Spark Workflow eingereichte Anträge prüft und darin tatsächlich Inkonsistenzen und Unvollständigkeiten anzeigt. Doch scheint das System einige technische Probleme mit sich zu bringen. Demnach kann es vorkommen, dass es zwei Dateien mit demselben Dateinamen ermittelt und dann eine davon verwirft. Dass die Dateinamen sich decken, bedeutet aber nicht automatisch, dass der Inhalt der Dubletten identisch ist.

Die Person, die das Programm bedient, sieht offenbar auch nicht, wenn im Hintergrund etwas passiert, was den Umfang des ursprünglichen Antrags verändert. Sie hat womöglich keine Information darüber, dass das System damit unter Umständen zu einem verfälschten Ergebnis kommt.

netzpolitik.org: Es fällt immer wieder das Argument vom „human in the loop“, am Ende entscheide immer ein Mensch. Ein Programm wie Spark Workflow solle lediglich unterstützen, menschliche Expertise sich dann auf das Ergebnis konzentrieren. Wie bewertest du das?

Stefan Kaufmann: Ich halte es für eine Ausrede. Im konkreten Fall ist nicht klar: Kann die Person, die das Programm bedient, einordnen, dass das Ergebnis der generativen KI zufallsbehaftet ist? Weiß sie, dass das System vielleicht unter der Haube anders agiert, als man es als Laie erwarten würde? Grundsätzlich ist die Frage offen: Wie kann der Mensch einen Antrag angesichts des Moments des Zufalls verlässlich bearbeiten? Oder werden solche Anträge in Zukunft quasi per Losverfahren beschieden?

„Nur auf einen spezifischen Anwendungsfall zugeschnitten“

netzpolitik.org: Laut den Aussagen etwa von BMDS-Staatssekretär Thomas Jarzombek soll Spark in mehreren Bereichen der öffentlichen Verwaltung eingesetzt werden können. Für wie realistisch hältst du das?

Stefan Kaufmann: Wenn man in den Code von Spark Workflow reinschaut, fällt auf: Dieses System ist gerade nur auf einen spezifischen Anwendungsfall zugeschnitten, nämlich auf die umweltrechtliche Genehmigung.

Würde man diesen Anwendungsfall auf einen anderen umbauen, muss man da händisch in viele Konfigurationsdateien eingreifen. Das wirkt auf mich nicht wie ein System, das flexibel auf verschiedene Szenarien in der Verwaltung angepasst werden kann. Zumindest nicht ohne erheblichen Aufwand.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Das Digitalministerium will Staat und Verwaltung digitalisieren. Doch Minister Wildberger wiederholt bekannte Fehler im Prestige-Projekt. Das zeigt ein Bericht des Bundesrechnungshofs, den wir veröffentlichen. Noch immer fehlen Standards und ein Projektmanagement-Tool.

Das Bundesministerium für Digitales und Staatsmodernisierung und Minister Karsten Wildberger rühmen sich für die Digitalisierung der öffentlichen Verwaltung. Doch sie wiederholen bekannte Fehler.

Das zeigt ein aktueller Bericht des Bundesrechnungshofs. Zuerst berichtete Bild. Wir veröffentlichen das Dokument: Verwaltungsdigitalisierung – Umsetzung der Empfehlungen des Bundesrechnungshofes zur 21. Legislaturperiode.

Statt gemeinsamen Standards zu folgen, preschen einzelne mit Insellösungen vor, die nur in ihrem Ökosystem funktionieren. Es fehlt eine Gesamtstrategie. Es fehlt ein klares Zielbild. Und es fehlen Instrumente, einzelne Digitalisierungsmaßnahmen zu monitoren – also zu erfassen, was bisher passiert, was nachzubessern ist und was insgesamt besser laufen könnte.

Ministerium ringt mit Fallstricken

Ein Großprojekt von Minister Wildberger ist der Deutschland-Stack. Der Baukasten ist wesentlicher Teil der Modernisierungsagenda für Staat und Verwaltung. Er soll Bund, Ländern und Kommunen „Bausteine“ an die Hand geben, mit denen sie ihre Verwaltungsleistungen einheitlich digitalisieren können.

Mit dem Stack greift Wildberger Kritik und Empfehlungen auf, die Expert:innen etwa zum Onlinezugangsgesetz 2.0 äußerten. Er soll einheitliche Basiskomponenten bestimmen, die Verwaltungen von Bund, Ländern und Kommunen nachnutzen können, Standards setzen für anschlussfähige Lösungen und eine zentrale Stelle, die eine Gesamtstrategie im Blick hat.

Der Deutschland-Stack ist seit gut einem Jahr beschlossen. Schon jetzt ist für den Bundesrechnungshof (BRH) erkennbar, dass das Ministerium mit den großen Fallstricken ringt.

Standards dringend notwendig

Zu den Basiskomponenten zählen unter anderem Fit-Connect, das National Once Only Technical System und die EUDI-Wallet, so das Bund-Länder-Gremium IT-Planungsrat im Juni.

Diese Komponenten bestehen schon deutlich länger als der Deutschland-Stack. Ob sie mit dem Stack kompatibel sind, sei laut Rechnungshof fraglich. Das habe das BMDS nicht ausreichend geprüft. Unter Umständen müssen die zuständigen Stellen die Komponenten an den Stack anpassen. Es bestehe „das Risiko“, dass das bis zum offiziellen Start des Deutschland-Stacks Anfang 2028 nicht rechtzeitig gelingt.

Insgesamt fordern die Prüfer:innen das BMDS dazu auf, bei den „Standards und Technologien für den Deutschland-Stack“ einen Zahn zuzulegen. Nach eigener Zielvorgabe will das BMDS sie erst Anfang 2028 umfassend bereitstellen.

Erst wenn wesentliche Standards und Technologien für den Deutschland-Stack feststehen, kann das BMDS abschließend bewerten, welche bestehenden Basisdienste konform zum Deutschland-Stack sind. Trotzdem beschloss der IT-Planungsrat, welche IT-Lösungen als Basisdienste für den Deutschland-Stack vorgesehen sind.

Keine verlässliche Grundlage

Verbindliche Standards fehlen etwa beim Thema generative KI und IT-Sicherheit, bemängeln die Rechnungsprüfer. Gleichzeitig entwickelt das Digitalministerium etwa das KI-Projekt Spark und fördert Projekte zu agentischer KI über den Agentic AI Hub. Akteure wie Länder oder Unternehmen haben laut BRH damit keine „verlässliche Planungsgrundlage“.

Erschwerend komme hinzu, dass die Akteure nicht erkennen können, welche Standards sie verbindlich umsetzen müssen. Zwar sind alle „128 erarbeiteten Standards und Technologien“ auf der Website zum Deutschland-Stack aufgelistet. Aber es ist nicht ausgewiesen, welche davon der IT-Planungsrat beschlossen hat.

Niemand steht am Steuer

Die wackelige Kommunikation auf der Website passt ins Bild. Der Rechnungshof bemängelt grundsätzlich, dass das Ministerium das Steuer nicht in der Hand hat. So gebe es erst jetzt, ein Jahr nach dem Beschluss zum D‑Stack, eine Meilensteinplanung. Dabei habe das BMDS versäumt, „Risiken und Abhängigkeiten zwischen den Projekten des D‑Stacks“ zu ermitteln. Das könne wiederum zu Verzögerungen führen.

Das BMDS hat zudem versäumt, ein übergreifendes Berichtswesen aufzubauen. Damit fehlen ihm geeignete Informationen, um den Deutschland-Stack zu steuern.

Auch die zentrale Software zum Projektmanagement PMflex komme laut BRH viel zu spät. Damit will das Ministerium erfassen, welche Fortschritte die zuständigen Behörden bei der Modernisierungsagenda Bund machen. Laut Agenda sollte das Tool innerhalb von vier Monaten fertig sein. Aber wahrscheinlich werden die Ressorts erst ab 2027 damit arbeiten.

Für den „Überblick über den Stand der Vorhaben zur Verwaltungsdigitalisierung“ sei das Tool unumgänglich. Damit sollen die Ressorts unter anderem „Kennzahlen zur Wirkungsmessung“ festhalten und auch, ob die gewählten Maßnahmen effektiv sind.

Das könnte aber insgesamt schwierig werden. Laut Rechnungshof hat die Bundesregierung in der Modernisierungsagenda „nur vage und abstrakt formuliert“, welche Ziele sie in der Verwaltungsdigitalisierung erreichen will. Wie genau gemessen werden soll, welche Maßnahme erfolgreich ist, ist nicht über Kennzahlen oder Ähnliches festgelegt.

Der Bundesrechnungshof kritisierte bereits in seinem Bericht vor einem Jahr, dass etwa Zielbild und Monitoring fehlen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die schwarz-rote Koalition will nicht nur bei der Informationsfreiheit, sondern auch beim Datenschutz die Axt anlegen. Sie plant unter anderem pauschale Ausnahmen für kleine und mittelständische Unternehmen und will die Aufsicht zentralisieren. Kritik kommt von Datenschutzexpert:innen, Aufsichtsbehörden und Zivilgesellschaft.

Am 2. Juli haben die Spitzen von Union und SPD im Koalitionsausschuss ein sogenanntes Reformpaket verabredet. Einige der vorgeschlagenen 34 Maßnahmen haben seitdem für heftige Debatten gesorgt, etwa Verschärfungen beim Thema Krankschreibung oder die De-Facto-Abschaffung der Informationsfreiheit im Bund. Bislang weniger im Fokus stehen Pläne der Koalition, auch beim Datenschutz die Axt anzulegen.

Dabei haben die Vorschläge es durchaus in sich: Unter anderem sollen viele Unternehmen ganz vom Datenschutz ausgenommen und betriebliche Datenschutzbeauftragte aussortiert werden. Auch die Datenschutzaufsicht will die Regierung radikal umbauen.

Auf Anfrage von netzpolitik.org gehen Datenschutzexpert:innen, Aufsichtsbehörden und zivilgesellschaftlichen Organisationen hart mit den Plänen ins Gericht. „Wer Ausnahmen schafft, die innerbetriebliche Kontrolle und Beratung abbaut und Aufsichtsstrukturen schwächt, hat eine klare Zielrichtung“, kritisiert etwa Frank Spaeing, Vorsitzender der Deutschen Gesellschaft für Datenschutz (DVD). „Die Koalition versucht, den Datenschutz an allen Ecken und Ende kaputt zu machen.“

„Die Große Koalition versucht mit dem irreführenden Narrativ vom Datenschutz als ‚Bürokratiemonster’ und Innovationshemmnis, ein europäisch verankertes Grundrecht abzubauen“, konstatiert auch Svea Windwehr, die Co-Vorsitzende des digitalpolitischen Vereins D64. „Mit der gleichen Kahlschlagmentalität, wie sie auch bei den Vorschlägen zum IFG zu erkennen ist, sollen betriebliche Datenschutzbeauftragte reduziert und kleine und mittelständische Unternehmen von Datenschutzpflichten ausgenommen werden.“

Ausnahme für 99 Prozent der deutschen Unternehmen

Überschrieben ist der verhältnismäßig knapp gehaltene 14. Punkt des Reformpakets mit „Moderner Datenschutz für mehr Wachstum“. Übergeordnetes Ziel ist eine Vereinfachung des Datenschutzes. Ein neues Datengesetzbuch soll das Datenrecht harmonisieren und unter Wahrung des Datenschutzes die Datennutzung fördern, heißt es in dem Papier.

Einer der Vorschläge sticht besonders hervor: Er zielt darauf ab, viele Unternehmen und Verarbeitungstätigkeiten gleich ganz vom Datenschutz zu befreien. Man wolle sich bei der EU dafür einsetzen, dass „nicht-kommerzielle Tätigkeiten (zum Beispiel in Vereinen), kleine und mittelständische Unternehmen und risikoarme Datenverarbeitungen (zum Beispiel Kundenlisten von Handwerkern) vom Anwendungsbereich der DSGVO ausgenommen werden“.

Dass insbesondere Vereine und sogenannte KMUs (Kleine und Mittelständische Unternehmen) beim Datenschutz entlastet werden sollen, hatte Schwarz-Rot bereits im Koalitionsvertrag angekündigt. Neu ist, dass dies über eine pauschale Befreiung von der gesamten Datenschutzgrundverordnung geschehen soll. Nach Angaben des Statischen Bundesamtes galten 2023 99,3 Prozent der deutschen Unternehmen als KMUs. Schwarz-Rot will also weite Teile der deutschen Wirtschaft weitgehend vom Datenschutz ausnehmen.

Das Problem: Von der Organisationsform oder der Größe eines Unternehmens hängt nicht ab, ob es Daten verarbeitet, die für Menschen gefährlich werden können. Auch bei Selbsthilfevereinen oder kleinen Unternehmen im Finanzwesen können hochsensible Daten landen.

Nicht nach Größe, sondern nach Risiko unterscheiden

Aus diesem Grund kritisiert Tobias Keber den Vorschlag. „Ein Handwerksbetrieb, bei dem nur wenige und in der Regel nicht sensible personenbezogene Daten verarbeitet werden, kann genauso wie ein kleines Unternehmen aus dem Gesundheitssektor, das große Mengen enorm sensibler Daten nutzt, als KMU gelten“, so der Landesdatenschutzbeauftragte von Baden-Württemberg. Pauschale Ausnahmen würden diese Unterschiede nicht abbilden.

Es gebe zahlreiche Vorschläge aus der Fachwelt, wie Vereinfachungen für Vereine und Wirtschaft besser erreicht werden können, kritisiert der Berufsverband der Datenschutzbeauftragten (BVD) in einer Stellungnahme: „Nicht die Unternehmensgröße, sondern das Risiko der Verarbeitung muss das entscheidende Kriterium für die Umsetzungspflichten sein.“ Dieser risikobasierte Ansatz sei in der DSGVO bereits angelegt, er müsse nur gestärkt werden.

Wer Vereine und KMUs tatsächlich entlasten wolle, müsse vielmehr die Hersteller von Software in die Haftung nehmen, so die Berliner Datenschutzbeauftragte Meike Kamp. Denn bisher tragen Anwender:innen die rechtliche Verantwortung, wenn sie etwa Dienste wie Microsoft 365 nutzen, obwohl sie an deren Datennutzung gar nichts ändern können.

Kamp fordert: „Hersteller und Anbieter von IT-Diensten sollten gesetzlich verpflichtet werden, ihre Produkte von Anfang an datenschutzkonform auszugestalten.“ Damit würde die datenschutzrechtliche Verantwortung dorthin verlagert werden, wo die Entscheidung über die Gestaltung von IT-Produkten getroffen werde. Zudem sollten auch Auftragsverarbeiter, also externe Dienstleister, verpflichtet werden, „ihre Dienste nur so anzubieten, dass die Datenschutzgrundsätze eingehalten werden können“.

Innerbetriebliche Expert:innen sollen aussortiert werden

Die Koalition will auch einen weiteren Dauerbrenner der deutschen Datenschutzdebatte angehen: Die betrieblichen Datenschutzbeauftragten. Diese müssen in Deutschland, anders als in vielen anderen EU-Ländern, benannt werden, wenn in einem Betrieb in der Regel mindestens zwanzig Mitarbeitende ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Sie sollen dafür sorgen, dass im Unternehmen entsprechende Expertise für Datenschutz vorhanden ist, werden insbesondere von Unionspolitiker:innen jedoch immer wieder als bürokratisches Ärgernis dargestellt. Laut Koalitionsbeschluss soll ihre Zahl in kleineren und mittleren Unternehmen deshalb reduziert werden.

Diesen Ansatz kritisiert nicht nur der Berufsverband der Datenschutzbeauftragten, demzufolge die Reduzierung der betrieblichen Datenschutzbeauftragten den Aufwand für Unternehmen massiv erhöhe und verteuere, während das Haftungsrisiko für Geschäftsführer und Vorstände steige.

Auch Tobias Keber, der Landesbeauftragte aus Baden-Württemberg, kann dem Vorschlag wenig abgewinnen. „Hier würde man das Kind mit dem Bade ausschütten“, weil im Unternehmen Wissen und der Aufsicht wichtige Ansprechpartner:innen wegfallen würden, während datenschutzrechtliche Verpflichtungen bestehen blieben. „Eine Abschaffung wäre ein klarer Rückschritt“, sagt auch die Berliner Datenschutzbeauftragte Meike Kamp.

Ebenfalls für eine „schlechte Idee“ hält das Frank Spaeing von der Deutschen Gesellschaft für Datenschutz. Er erinnert daran, dass es die deutsche Wirtschaft gewesen sei, die sich in den 70er-Jahren bei Entstehung der ersten Datenschutzgesetze für die Einführung betrieblicher Datenschutzbeauftragter eingesetzt habe, weil sie ein strenges Aufsichtsregime habe verhindern wollen.

„Die Logik war damals: Mehr Eigenverantwortung für die Unternehmen und dadurch mehr Ruhe vor den Behörden.“ Wenn man nun auf die internen Beauftragten verzichten wolle, müsse man gleichzeitig die externe Kontrolle durch die Datenschutzaufsicht verschärfen. Die Koalition plane nun allerdings das genau Gegenteil, so Spaeing weiter.

Zentralisierung der Datenschutzaufsicht

In der Debatte um eine Vereinheitlichung der föderalen Datenschutzaufsicht legt sich die Koalition nun auf eine Zuständigkeitskonzentration beim BfDI fest, also beim Bundesbeauftragten für Datenschutz und Informationsfreiheit. Derzeit kontrolliert dieser, von einigen Ausnahmen abgesehen, insbesondere öffentliche Stellen des Bundes. Bereits in den Koalitionsverhandlungen hatte die Union gefordert, den Landesdatenschutzbeauftragten die Aufsicht über die Wirtschaft zu entziehen und diese beim BfDI zu zentralisieren.

Dem Vernehmen nach war es die damalige SPD-Chefin Saskia Esken, die das verhindert hatte. Inzwischen gehen die Sozialdemokraten diesen Weg offenbar mit, obwohl sie damit auf Konfrontationskurs zum Bundesrat gehen. Denn nicht nur zivilgesellschaftliche Organisationen und die Landesdatenschutzbeauftragten warnen vor einer Zentralisierung, weil diese sowohl die Kontrolle als auch die Beratung vor Ort schwächen könnte. Auch der Bundesrat hat kürzlich eine Initiative beschlossen, der zufolge die föderale Aufsichtsstruktur beibehalten, aber effizienter und einheitlicher werden soll.

Die Datenschutzbehörden seien in der Fläche heute schon nicht präsent genug, sagt Frank Spaeing von der DVD, der selbst als externer Datenschutzbeauftragter arbeitet. Eine Zentralisierung würde dazu führen, dass die Aufsicht gar nicht mehr vor Ort wahrnehmbar wäre.

Kritik kommt auch von Svea Windwehr von D64: Die Bündelung von Kompetenzen beim BfDI müsse kritisch gesehen werden. „Föderale Aufsichtsstrukturen schützen gegen Corporate Capture und antidemokratische Akteure.“ Spezialkompetenzen wie die zu Normierungsverfahren könnten hingegen an den BfDI abgegeben werden, um die Arbeit der deutschen Datenschutzaufsicht zu vereinfachen. Das müsse jedoch mit entsprechenden Ressourcen bei der Behörde einhergehen.

Wie eine echte Reform des Datenschutzes aussehen könnte

Dass auch die Datenschutzbehörden selbst Reformbedarf bei der Aufsicht sehen, machen Meike Kamp und Tobias Keber deutlich. Sie verweisen auf die Stuttgarter Impulse, in denen sie und ihre Länderkolleg:innen Vorschläge für eine effizientere Aufsicht skizziert haben. Zentrales Element: Die bislang nur informell agierende Datenschutzkonferenz, in der alle Behörden sich absprechen, solle institutionalisiert, mit einer Geschäftsstelle und bindenden Mehrheitsbeschlüssen versehen werden.

Zudem wollen die Behörden ein „Einer für alle“-Prinzip einführen: Wenn eine Behörde etwas geprüft hat, soll es eine andere bei vergleichbaren Themen nicht mehr tun. Dies geht weiter, als es das Reformpaket der Koalition vorschlägt. Zwar sieht dieses eine gesetzliche Verankerung der Datenschutzkonferenz vor, allerdings nur mit dem Ziel, dass dort „gemeinsame Standards“ erarbeitet werden.

Dass eine echte Reform des Datenschutzes möglich wäre, die sowohl für Vereinfachung sorgt als auch mehr Durchschlagskraft bringt, hatte kürzlich im Interview mit netzpolitik.org auch Datenschutz-Aktivist Max Schrems betont. Er schlägt vor, den risikobasierten Ansatz der DSGVO zu stärken und kleinere Unternehmen etwa bei Dokumentationspflichten zu entlasten. Gleichzeitig müsse die Durchsetzung des Datenschutzes gegenüber Konzernen und Datenhändlern gestärkt werden.

Die Frage sei allerdings, ob das politisch gewollt ist, so Tom Jenissen von der Digitalen Gesellschaft. Er erinnert daran, dass die Bundesregierung sich in aktuellen Verhandlungen des Rates der EU-Mitgliedstaaten über den Datenomnibus für weitreichende Rückschritte einsetzt. „Es bleibt zu hoffen, dass Europaparlament und Rat den populistischen Forderungen der deutschen Regierung nicht nachgeben.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Bürger:innen stellen digitale Anträge und die Verwaltung bearbeitet sie. Damit sie an der richtigen Stelle ankommen, braucht es eine Transport-Infrastruktur. Bund und Länder haben sich nun auf eine Lösung dafür geeinigt und wollen sie bundesweit ausrollen. Scheitern könnte das jedoch schon an den Landesgrenzen.

Der Deutschland-Stack (D‑Stack) soll die Verwaltungsdigitalisierung ins Rollen bringen, so die Hoffnung von Bund und Ländern. Der D‑Stack besteht aus Komponenten, die alle bis zur Kommune nachnutzen können – ohne sie aufwändig selbst entwickeln zu müssen. Damit das funktioniert, müssen aber alle mitmachen. Mitte Juni feierten Bund und Länder eine große Einigung im Bund-Länder-Gremium IT-Planungsrat: Die Länder verpflichten sich, sich an drei Basiskomponenten des Stacks anzubinden und sie auch zu nutzen.

Eine der Komponenten ist das National-Once-Only-Technical-System (NOOTS), das dafür sorgen soll, dass Bürger:innen nur einmal ihre Daten angeben und nicht jeder Behörde neu übermitteln müssen. Die zweite sind die technischen Komponenten zu Identität wie die eID-Funktion des elektronischen Personalausweises und die geplante digitale Brieftasche EUDI-Wallet. Die dritte Komponente ist schließlich FIT-Connect, die Antragstellungen erleichtern soll.

Sie alle sind inzwischen Bestandteile des D‑Stacks, dem Prestige-Projekt von Digitalminister Karsten Wildberger (CDU). Auch die Zielarchitektur für Postfach- und Kommunikationslösungen (ZaPuK) und die Zahlungsabwicklung (ZBDS) gehören zum Katalog an Basiskomponenten.

Man stehe entschlossen hinter dem D‑Stack und der Einigung, sagte Anke Pörksen, Staatssekretärin im Niedersächsischen Ministerium für Inneres, Sport und Digitalisierung, beim Pressegespräch zur Sitzung. Das dürfte auch damit zusammenhängen, dass der Bund Konzeption, Pflege und Entwicklung der Komponenten eID, EUDI-Wallet, FIT-Connect und NOOTS zu großen Teilen finanzieren will. Davon verspricht man sich Fortschritt, der „zu spürbaren Erleichterungen für Bürger:innen sowie Unternehmen führen“ soll, so die gemeinsame Pressemitteilung.

Wie verbindlich ist die Verpflichtung?

Ob „die spürbaren Erleichterungen bei Bürger:innen“ tatsächlich ankommen, hängt jedoch stark von den Ländern ab. Während ein Staatsvertrag vom letzten Jahr die Länder ohnehin zu NOOTS verpflichtet, ist der neue Beschluss für FIT-Connect nur begrenzt verbindlich.

Bei FIT-Connect handelt es sich um ein Produkt der Föderalen IT-Kooperation (FITKO). Über die Infrastruktur werden Daten von Bürger:innen, Organisationen und Unternehmen an die Verwaltung transportiert. Das ähnelt einem bundesweiten Zustelldienst, der Anträge in einem standardisierten Format an die zuständige Stelle weiterleitet.

Das Ganze läuft über eine „einheitliche und leicht zu bedienende Schnittstelle“ und über alle föderalen Ebenen hinweg. Dabei setzt FIT-Connect auf international etablierte Standards auf und fördert die Übertragung von Antragsdaten in maschinenlesbarer Form. Eine gute Voraussetzung dafür, dass die Verwaltung davon wegkommt, mit PDFs zu arbeiten. Um die Anbindung zu erleichtern, unterstützt FIT-Connect mit technischen Komponenten und Know-how.

Wie die FITKO jedoch auf Anfrage mitteilt, hätten die Länder trotz Beschluss bestimmte Freiheiten. Denn „aus der Verpflichtung“ zur Anbindung im eigenen Land folge nicht, dass sie andere Transport-Infrastrukturen abschalten müssen. Außerdem könnten die Länder auch Lösungen wählen, „die von der standardmäßig vorgesehenen direkten Anbindung abweichen“.

FIT-Connect ist schon jetzt erfolgreich: Es sei bereits in allen Bundesländern im Einsatz, wobei Niedersachsen es bislang am meisten nutze, gibt die FITKO auf Anfrage an. Stark genutzte Leistungen seien auch schon „produktiv über FIT-Connect zu beziehen“: Man könne darüber etwa melden, wenn der Personalausweis verloren gegangen ist.

Vendor-Lock-in im Kleinen

Und doch kommen positive Effekte von FIT-Connect trotz der neuen Verpflichtung der Länder nicht unbedingt dort an, wo sie besonders nötig wären: bei den Kommunen. Während Bund und Länder FIT-Connect selbst schon länger kostenlos nutzen können, entstehen am Übergang zum Fachverfahren häufig hohe Kosten. Beim Fachverfahren handelt es sich um Software „auf der Basis von Datenbanken“. Die Verwaltung braucht sie, um ihre Aufgaben zu bearbeiten. Neben Datenbanken und Software-Anwendungen gehören häufig auch Schnittstellen zum Fachverfahren. Über die Schnittstellen kann die Verwaltung Daten zwischen verschiedenen Systemen austauschen.

Wenn Kommunen Fachverfahren, die sie bisher genutzt haben, an FIT-Connect anschließen wollen, sind sie stark vom Hersteller des jeweiligen Fachverfahrens abhängig. Der muss nicht nur die technische Anbindung umsetzen, sondern gibt auch die Preise vor. So würden die Hersteller Lizenzgebühren dafür verlangen, eine Adapter-Lösung zwischen ihren Fachverfahren und FIT-Connect zu bauen, sagt Hauke Traulsen, der bei der FITKO für das Produktmanagement zum FIT-Connect verantwortlich ist. Für jede Instanz würden fünfstellige Beträge fällig.

Die Belastung bestätigt auch der Deutsche Landkreistag (DLT) gegenüber netzpolitik.org. „Hohe Integrationsaufwände und Kosten“ entstünden dort, „wo unterschiedliche Transportstandards oder Postfachlösungen parallel bestehen und angebunden werden müssen.“

Daher würden die Kommunen schon lange „die Vorgabe von Basiskomponenten“ fordern, so der DLT. Der Beschluss zum D‑Stack werde dieser Forderung gerecht. Dass sich die Länder verpflichten und der Bund die Basiskomponenten finanzieren und sich für den Betrieb verantwortlich zeichnen will, stelle „wichtige Weichen“.

Jedoch bezahlt der Bund nicht dafür, die Komponenten in den einzelnen Ländern in die Breite zu bringen. Die Kosten tragen die einzelnen Länder. Der DLT mahnt daher: „Eine Flächendeckung funktioniert nur, wenn die Länder ihrer Verantwortung für die Kommunen gerecht werden.“ Dazu gehöre auch, den Aufwand zu finanzieren, der sich im Land bei der Anbindung ergibt.

Teure Doppelstrukturen

Das Land Nordrhein-Westfalen geht beim Thema Schnittstellen indes einen Sonderweg, mit dem Gesetz APIGATE NRW (€). Künftig sollen Anträge standardisiert über eine zentrale, landesspezifische Infrastruktur in die Kommunalverwaltungen weitergeleitet werden. Das Gesetz legt fest, dass Kommunen diese Infrastruktur nutzen müssen. Es funktioniert wie FIT-Connect, bestünde aber als parallele Struktur und würde auch bestehende Lösungen nicht ersetzen.

Bildlich gesprochen hängt das Land einen neuen, einheitlichen Briefkasten für digitale Anträge auf und lässt alle alten Briefkästen daneben hängen. Ein chaotisches Netz an Wegen, die Anträge vom Antragstellenden bis zum Amt nehmen. Kommunen hätten damit weitere Kosten – und die sind aus einem weiteren Grund schwer zu bändigen: Damit ein Antrag aus dem landeseigenen Gateway im Fachverfahren ankommt, muss der Hersteller die Software entsprechend umbauen. Auch das kostet die Kommunen Geld.

Für alle, die in NRW bereits FIT-Connect nutzen, bedeutet APIGATE Doppelstrukturen und zusätzliche Kosten. Das würde beispielsweise Behörden oder Organisationen betreffen, die über FIT-Connect an ein nationales Register angebunden sind. Zudem will die FITKO mit FIT-Connect auch das NOOTS stärker in die Breite bringen, so Traulsen. Wie sich APIGATE NRW zum NOOTS verhalten wird, scheint im Gesetz bislang nicht geklärt zu sein.

Am liebsten morgen

Wenn es nach dem Bund, IT-Planungsrat und der FITKO ginge, würden sich die Länder nun möglichst bald an die Basiskomponenten anbinden. Realistisch sei aber, dass ein Umstieg „in dieser Größenordnung wahrscheinlich drei bis fünf Jahre in Anspruch“ nimmt, so die FITKO auf Anfrage. Die Länder wollen sich in Sachen Anbindung noch in diesem Jahr auf einen Zeitplan in Form einer verbindlichen Meilensteinplanung festlegen.

Wer prüft, ob sich die Länder tatsächlich angebunden haben, sei laut FITKO noch nicht klar. Immerhin führe FIT-Connect einen Anbindungskatalog, in dem erfasst sei, wer sich angebunden hat.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Der neue Bundesbeauftragte für Datenschutz und Informationsfreiheit war vorher Jura-Professor und gilt als Verfechter eines wirtschaftsorientierten Datenschutzes. Er wurde heute vom Bundestag gewählt.

Der Bundestag hat heute Moritz Hennemann zum neuen Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) gewählt. Er wurde von der Unions-Fraktion vorgeschlagen und erhielt 391 Ja-Stimmen bei 122 Nein-Stimmen und 77 Enthaltungen. Der Jurist folgt damit auf Louisa Specht-Riemenschneider, die das Amt nach gut zwei Jahren aus gesundheitlichen Gründen aufgibt.

Hennemann ist seit 2023 Professor für Zivilrecht, Informationsrecht, Medienrecht und Internetrecht an der Universität Freiburg. Für wissenschaftliche Veröffentlichungen wurde der 1985 geborene Jurist mehrfach mit rechtswissenschaftlichen Auszeichnungen geehrt.

In seiner Publikationsliste finden sich neben zahlreichen Auseinandersetzungen mit der Datenschutzgrundverordnung (DSGVO) auch zahlreiche Texte zu Datennutzungsgesetzen wie dem Data Act und dem Data Governance Act. Expertise zum Thema Informationsfreiheit, das neben dem Datenschutz zum Aufgabenfeld des BfDI gehört, hat der Jurist nicht vorzuweisen.

Hennemann gilt als Vertreter eines wirtschaftsorientierten Datenschutzes, der Daten als ökonomisches Gut sieht und die Nutzung von Daten für Innovation und Geschäftsmodelle betont. In einem Gastbeitrag in der FAZ begrüßte er Ende 2025 das Digital-Omnibus-Gesetzespaket der EU, das von Datenschutzbehörden, Forscher:innen und Zivilgesellschaft als Angriff auf die KI-Verordnung und die DSGVO kritisiert wird.

Verfechter einer „Datenrealpolitik“

Moritz Hennemann veröffentlichte in der Vergangenheit mehrfach gemeinsam Texte mit Louisa Specht-Riemenschneider. 2022 sprachen sie sich etwa in einem gemeinsamen Gastbeitrag in einem Background-Newsletter des Tagesspiegel für eine „Datenrealpolitik“ aus. Darin beschrieben sie „die Bildung effizienter und resilienter globaler Daten(handels)ökosysteme“ als „eine Zukunftsfrage der freien Welt“.

Auch die scheidende BfDI war vor ihrem Amtsantritt Jura-Professorin und gilt als Vertreterin eines innovationsorientierten Datenschutzes. In Fragen der Gesundheitsdigitalisierung etwa positionierte sie sich deutlich kompromissbereiter als ihr Vorgänger Ulrich Kelber. Sie betonte jedoch auch die Notwendigkeit, Schutzlücken im Datenschutz zu schließen und verwies dabei regelmäßig auf Databroker-Recherchen von netzpolitik.org und dem Bayerischen Rundfunk.

Mit dem Datenbarometer rief Specht-Riemenschneider eine wiederkehrende Erhebung zu Einstellungen der Bevölkerung zu unterschiedlichen Datenthemen ins Leben und forderte erst kürzlich die Einführung eines Bundestransparenzgesetzes. In der Debatte um eine Harmonisierung der Datenschutzaufsicht in Deutschland sprach sie sich für eine Zentralisierung der Aufsicht über die Wirtschaft bei ihrer Behörde aus. Pläne der Bundesregierung, ihrem Haus die Datenschutzaufsicht über den Bundesnachrichtendienst zu entziehen, kritisierte sie.

Eine öffentliche Ausschreibung oder ein anderweitig transparentes Verfahren für die Nachbesetzung der BfDI-Stelle fand nicht statt.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Deutsche Polizeien sollen uns mit KI überwachen. Lange blieb der Aufschrei aus, jetzt gab und gibt es in gleich vier Städten Demonstrationen dagegen.

Plopp, Plopp, Plopp, platzen die Regenschirme auf. Sie sind auf einen rechtsradikalen Youtuber gerichtet. Dessen Handykamera zeigt nun nicht mehr auf eine überwachungskritische Demonstration, sondern auf eine Wand aus schwarzem Textil.

Hinter den Schirmen stehen junge Menschen, teils erst 15 Jahre alt, mit Schlauchschals, Kapuzen, Sonnenbrillen vermummt. Sie skandieren: „Ich bin nichts, ich kann nichts, gebt mir einen Selfie-Stick.“ Sie wollen die Live-Übertragung des Nazi-Streamers stören. Und gleichzeitig noch viel mehr, nämlich: die Überwachungspläne der Bundesregierung aufhalten.

Gerade drängt die schwarz-rote Regierung ein Überwachungs-Gesetzes-Paket durch den Bundestag. Deutschland soll mit KI überwacht werden, die Menschen biometrisch identifiziert und kriminalistische Analysen, ja gar Listen von Verdächtigen erstellt. Ähnliche Befugnisse bekommen gerade auch viele Landespolizeien, dazu Videoüberwachung, die automatisch prüft, ob sich alle verhalten wie erwünscht. Es droht eine Megadatenbank mit Aufnahmen aus dem öffentlichen Raum, Standort- und Kommunikationsdaten, mindestens fallweise ist auch die Einbeziehung von Gesundheits- und Finanzinformationen möglich.

Die vermummten Nazi-Stream-Blockierer sind Teil einer Anti-Überwachungs-Demonstration, die sich am vergangenen Samstag gegen die neuen Befugnisse positionierte. Deutlich über 1.000 Menschen ergab eine grobe Zählung am Startpunkt in Berlin-Friedrichshain. Gleichzeitig lief eine Demo durch Kiel. 600 Menschen protestierten dort nach Angabe der Veranstalter*innen, 400 nach Schätzung der Polizei.

Nächstes Wochenende folgen Demonstrationen in Hamburg und Leipzig. In Sachsen, Thüringen und Niedersachsen richten Aktivisti Informationsveranstaltungen zu den jeweiligen Polizeigesetz-Verschärfungen aus.

Die Kämpfe aus den Bundesländern zusammenführen

Es ist eine bundesweite Bewegung, die hier gerade zueinanderfindet, eine Welle von Widerstand. Und die Demo in Berlin ist auch eine Art Vernetzungstreffen. Jonas Grill von der NGO Digitalcourage ist aus Bielefeld in Nordrhein-Westfalen angereist. Dort wird bereits Palantir-Software genutzt. „Es geht hier auch darum, die Kämpfe aus den Bundesländern zusammenzuführen“, sagt Grill.

Die Veranstalter*innen haben Pappkameras am Stiel ausgeteilt. Menschen halten sich aus Spaß die Attrappen ins Gesicht, lassen einander erahnen, wie das ist, im Fokus von Überwachungstechnologie zu sein. Unter den Show-Kameras formiert sich der schwarze Block, vermummte Gesichter verschanzen sich hinter Transparenten. Ein Mensch hält einen Stab in die Höhe, drei echte Überwachungskameras sind daran befestigt, wie Trophäen einer Jagd.

Es geht los. Fahnen flattern, Blaulicht flackert, Bass wummert, Menschen skandieren, „Palantir, nicht mit mir!“, oder „Regierungsspanner raus aus den Kiezen! Tech-Milliardäre raus aus den Kiezen! Überwachung aller Eliten!“ zum Beispiel. „Antibiometrische Aktion“ steht auf einem Schild. In der Vielfalt der Demonstrierenden – darunter Kinder und Rentner*innen – ist der schwarze Block letztlich nur ein Farbklecks von vielen. Lächelnde Menschen tanzen im Sonnenschein über die Warschauer Brücke in Berlin.

Einhorn traurig

„Vorratsdatenspeicherung macht das Einhorn traurig“, steht auf Linas Schild, daneben ist ein Bild eines traurigen Einhorns gemalt. Lina, die eine Schirmmütze mit der Aufschrift „privacy is normal“ trägt, ist Aktivistin beim Kleindatenverein. Sie wohnt zwischen Görlitzer Park und Kottbusser Tor, ihre alltäglichen Wege führen sie durch Zonen, die künftig mit KI-Kameras überwacht werden sollen. Sie fürchtet, dass die KI-Überwachung nicht mehr zu verhindern ist. „Aber wir können sie mitgestalten und die Spitzen rausnehmen“, glaubt sie.

Lina ist Privatsphärenfan, bei Demos wie dieser setzt sie ihr Telefon in den Flugmodus – damit Provider und Polizei nicht ihren Standort bekommen. Mit Hilfe der geplanten Gesichtersuchmaschine könnte sie jedoch auf Fotos der Demonstration verortet werden. Das ist unschön, aber kein Grund zu Schwänzen. „Wenn ich deshalb nicht komme, erreichen die ja, was sie wollen“, sagt Lina.

Sinje und Lukas sind in Brandenburg bei der Linksjugend Solid engagiert. Sie sind hier, weil es ihnen Sorgen macht, dass die KI-Überwachungstechnologie in Zukunft gegen marginalisierte Menschen eingesetzt werden könnte und dass nicht nur die CDU, sondern auch SPD und Grüne bei der Ausweitung der Polizei-Gesetze mitmachen. „Wir brauchen gar keinen Rechtsruck mehr“, sagt Sinje.

Ückück von den Datenpunks ist aus Dresden angereist und blickt auf die Demonstration, die gerade fast die gesamte Brücke einnimmt. „Das tut richtig gut zu sehen“, sagt sie.

Wenige hundert Meter nach dem Start: Die Demo führt ganz nah einem singulären Riesenhochhaus vorbei, einem schwarzen Block, wuchtiges Design. Es ist das Deutschland-Hauptquartier von Amazon. Der Konzern ist auch für seine Überwachungspraktiken weltbekannt. Ein Mensch wirft aus der Demonstration heraus einen Farbbeutel auf das Gebäude. „Man muss die staatliche mit der kapitalistischen Überwachung zusammendenken“, sagt einer der Vermummten.

„Viel mächtiger als alles, wovor man sich früher sorgte“

Überwachungsgesetze und Kontrollprojekte sorgen in Deutschland inzwischen beinah traditionell für einigen Wirbel. Das zeigten erstmals die Proteste zur 1983 geplante Volkszählung. In den 2000er- und 2010er-Jahren brachte die Kampagne „Freiheit statt Angst“ immer wieder zehntausende Menschen auf die Straße. 2018/19 gab es Proteste in ähnlicher Größenordnung gegen Polizeigesetz-Verschärfungen.

Lukas Theune ist Geschäftsführer des Republikanischen Anwältinnen- und Anwältevereins (RAV), einer der Organisationen, die zu der Demo aufgerufen haben. Er sagt: „Es gab immer wieder Proteste gegen die Aufrüstung der Sicherheitsgesellschaft. In dieser Tradition stehen wir sicherlich, aber was jetzt eingeführt wird, ist noch viel mächtiger als alles, wovor man sich früher sorgte. Jetzt ist es wichtig, dass die große Mehrheit, die diese Maßnahmen nicht will, vernehmbar wird und Widerstand leistet.“

Es ginge gerade um eine grundlegende Veränderung der Sicherheitsarchitektur und der Art und Weise, wie wir als Gesellschaft leben können. Theune fürchtet, „dass wir zu einer gläsernen Gesellschaft werden, dass der Staat alles, was wir machen, weiß, dass er uns total überwacht“.

Die Demo führt auf einen kritischen Punkt zu: Zwei Kuppelkameras in der Unterführung unter der neu eingerichteten Polizeiwache am Kottbusser Tor. Die ist sowieso Hassobjekt der Linken in Berlin. Und die Kameras dort filmen anscheinend ohne Rechtsgrundlage öffentlichen Raum. An ihnen könnte sich die Wut über die zunehmende Überwachung entladen. Die Polizei verspricht laut Veranstalter*innen, dass die Kameras hochgedreht und abgedeckt sein werden, wenn die Demo passiert. Dann ändert sie ihre Meinung, teilt eine Änderung der Route mit. Nun soll es doch nicht wie geplant unter den Kameras hindurchgehen.

Polizistinnen rennen, um sich zwischen Demo und Wache zu positionieren. Die Demo führt nun einmal um den Kreisverkehr und den gleichen Weg ein Stück zurück, um über einen Schlenker zum Zielort zu kommen. Der Nazi-Streamer hält bis zum Schluss durch – und wird bis zum Schluss mit Regenschirmen abgeblockt. Dann wird die Demo aufgelöst. Sie war womöglich nur so etwas wie der Auftakt des Widerstandes. Die nächsten Demos in Hamburg und Leipzig sind ja schon gesetzt.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Staatliche Stellen haben letztes Jahr über 35 Millionen Mal abgefragt, wem eine Telefonnummer gehört. Diese Abfragen haben sich innerhalb von fünf Jahren verdoppelt. Auch Inhaber von IP-Adressen werden abgefragt, laut Telekom vor allem wegen Urheberrechtsverletzungen.

Wem gehört eine Telefonnummer? Das können 135 staatliche Stellen von 142 Telekommunikations-Unternehmen erfahren, ohne dass die betroffenen Firmen oder Kunden davon etwas mitbekommen.

Dieses automatisierte Auskunftsverfahren wird von der Bundesnetzagentur betrieben und ist auch als „Behördentelefonbuch“ oder Bestandsdatenauskunft bekannt.

Die Bundesnetzagentur veröffentlicht darüber jährliche Statistiken, neben einem Absatz im aktuellen Jahresbericht auch auf der Webseite:

Im Jahr 2025 wurden insgesamt ca. 35,11 Mio. Ersuchen über das Automatisierte Auskunftsverfahren bei der Bundesnetzagentur beantwortet.

Wir haben die Zahlen wie jedes Jahr aufbereitet und visualisiert.

Wem gehören 35 Millionen Telefonnummern?

Deutsche Behörden haben im letzten Jahr über 35 Millionen Mal gefragt, wer eine Telefonnummer registriert hat.

Staatliche Stellen wie Polizei, Geheimdienste und Zoll haben also im Schnitt fast jede Sekunde einen Datensatz mit Name, Anschrift und weiteren Bestandsdaten erhalten. Das ist ein neues Allzeithoch.

Diese nummernbasierten Ersuchen haben sich innerhalb von fünf Jahren verdoppelt.

Welche Telefonnummern gehören dieser Person?

Die Auskunft geht auch anders herum: Welche Telefonnummern gehören einer Person?

Diese personenbasierten Ersuchen wurden 340.813 Mal gestellt. Das ist etwa eine Abfrage alle anderthalb Minuten.

Diese Abfragen nahmen wieder zu:

Registrierungspflicht für SIM-Karten

In vielen Staaten der Welt kann man Internet per WLAN und Mobilfunk auch ohne Identifizierung nutzen, darunter USA und Kanada, Großbritannien und Tschechien. Das Bundesamt für Sicherheit in der Informationstechnik hatte jahrelang die „Verwendung von Prepaid-Karten zur Anonymisierung“ empfohlen.

Seit einem Anti-Terror-Gesetz von 2016 müssen Prepaid-SIM-Karten in Deutschland mit einem amtlichen Ausweisdokument registriert werden. Das sind genau die Daten, die jede Sekunde abgefragt werden.

Damals sagte uns das CDU-geführte Innenministerium, dass es „keine allgemeine Pflicht zur nachträglichen Überprüfung bereits erhobener Bestandsdaten“ gibt.

Bundesnetzagentur kontrolliert Daten

Diese Zusage gilt jetzt nicht mehr. Sicherheitsbehörden beklagen, dass manche Daten eine „mangelhafte Datenqualität“ hätten, also Anschlüsse auf ein Pseudonym registriert sind. Deshalb hat die Bundesnetzagentur Auslegungshinweise zum Gesetz „erweitert und fortentwickelt“. Auf einem „Compliance Gipfel“ diskutieren Branchenvertreter und berechtigte Stellen „Lösungsansätze zur Verbesserung der Datenqualität“.

Dieses Jahr will die Bundesnetzagentur die „Vorgaben für Identifizierungsverfahren im Prepaid-Mobilfunksektor“ überarbeiten. Nach der Novellierung des Telekommunikationsgesetzes will die Bundesnetzagentur die Kundendatenauskunftsverordnung und die Technische Richtlinie für das Auskunftsverfahren überarbeiten.

Wer keinen Personalausweis vorlegt, verliert den Mobilfunk-Anschluss.

Keine Transparenz zu IP-Adressen

Seit 2013 können Behörden neben Telefonnummern auch Internetdaten wie IP-Adressen und E‑Mail-Postfächer als Bestandsdaten abfragen. Damit erfahren sie, wem eine IP-Adresse zugewiesen ist oder welche IP-Adressen eine Zielperson nutzt – ebenfalls ohne Richterbeschluss.

Zu diesen Abfragen gibt es leider keine Statistiken, weil die Behörden direkt bei den Internet-Zugangs-Anbietern anfragen. Die Bundesnetzagentur könnte diese Statistiken erheben und veröffentlichen. Doch dazu fehlt der politische Wille – aller Bundesregierungen.

Die Deutsche Telekom veröffentlicht freiwillig einige Zahlen in ihrem Transparenzbericht. Demnach haben Behörden in über 53.000 Fällen Bestandsdaten durch manuelle Abfragen erhalten. Dazu kommen mehr als 217.000 Abfragen zu Inhabern von IP-Adressen bei mutmaßlichen Urheberrechtsverletzungen im Internet.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Der Bundesrat will bei der geplanten Vorratsdatenspeicherung weiter gehen als die Bundesregierung: Die Speicherfrist soll auf ein halbes Jahr ausgedehnt werden. Auf die Daten der Sicherungsanordnungen bei Internet-Zugangs- und E‑Mail-Anbietern sollen auch alle Länderpolizeien und alle Geheimdienste der Länder zugreifen dürfen.

In dieser Legislaturperiode soll nach den Wünschen der schwarz-schwarz-roten Bundesregierung eine Neuauflage der anlasslosen Massenspeicherung von Kommunikationsdaten kommen: Ende April hat sie den Gesetzentwurf zur Vorratsdatenspeicherung beschlossen. Der Rechtsausschuss des Bundesrates hat gestern Empfehlungen vorgelegt, wie aus seiner Sicht die geplante Vorratsdatenspeicherung und weitere neue Datenspeicherungsvorschriften ganz erheblich ausgeweitet werden sollen.

Es geht um die generelle anlassunabhängige Speicherung von IP-Adressen von sämtlichen Kunden, die allen Internetdiensteanbietern durch das geplante Gesetz vorgeschrieben werden soll. Neben der IP-Adresse sieht der Gesetzentwurf vor, auch Zusatzinformationen bei den Providern festzuhalten: jeweils die Anschlusskennung, die zugehörige Nutzerkennung, das Datum mit einer sekundengenauen Start- und Ende-Uhrzeit der IP-Zuweisung zum Anschlussinhaber sowie die zugehörige Portnummer.

Die zu speichernde Datenmenge wird damit gegenüber den bloßen IP-Adressen erheblich vergrößert. All diese Informationen sollen von den Internetdiensteanbietern für ein vorgegebenes standardisiertes Abrufverfahren bereitgehalten werden.

Zwist um Speicherlänge

Bisher ist eine Speicherlänge von drei Monaten vorgesehen, die dem Rechtsausschuss des Bundesrats jedoch nicht weit genug geht. Er fordert eine Verdopplung auf sechs Monate. Schon ob die bisher geplanten drei Monate Speicherpflicht für IP-Adressen und Portnummern „das absolut Notwendige“ sind, auf die eine anlasslose Massenspeicherung nach dem jüngsten EuGH-Urteil zu begrenzen ist, wird stark in Zweifel gezogen. Nun soll nach Ansicht des Rechtsausschusses sogar ein halbes Jahr „absolut notwendig“ sein.

Eine solche Speicherpflicht ermöglicht es, Bewegungs- und Persönlichkeitsprofile aus den Daten zu gewinnen. Deswegen und vor allem wegen der unterschiedslosen Massensammlung der Daten aller Menschen wird seit Jahrzehnten heftig über die Vorratsdatenspeicherung gestritten.

Neues Rechtsinstrument Sicherungsanordnung

Strafverfolgungs- und Polizeibehörden sollen die Vorratsdaten künftig nutzen dürfen. Dazu kommen noch weitere „berechtigte Stellen“ wie Geheimdienste, aber auch Finanzbehörden und der Zoll. Eine strenge Begrenzung der Verwendungszwecke ist dabei nicht vorgesehen, was etwa der Deutsche Anwaltverein als europarechtswidrig einstuft.

Der Gesetzentwurf geht aber noch weiter: Er sieht neue sogenannte Sicherungsanordnungen für Internet-Zugangs-Anbieter und auch E‑Mail-Anbieter vor, die neben den Metadaten nun auch Standort- und Inhaltsdaten betreffen sollen. Dieses Verfahren ähnelt der Idee des Quick Freeze, ist aber weniger Grundrechte-freundlich. Der Rechtsausschuss fordert nun, dass auch sämtliche Länderpolizeien und alle Geheimdienste der Länder diese Daten abrufen dürfen.

Keine verpflichtenden Richtervorbehalte

Für die strafprozessualen Sicherungsanordnungen sind keine verpflichtenden Richtervorbehalte vorgesehen. Stattdessen soll die Staatsanwaltschaft sie bei einem Anfangsverdacht für maximal drei Monate anordnen und weitere drei Monate noch verlängern können. Bei Gefahr im Verzug soll sie sogar die Ermittlungsperson anordnen dürfen. Das hat dem Gesetzentwurf Kritik wegen des Prinzips der Gewaltenteilung eingebracht, weil eben kein Richter einen prüfenden Blick auf die Anordnung und auch nicht auf deren Verlängerung wirft. Für das Abrufen der Daten gilt hingegen der Richtervorbehalt.

Diese Sicherungsanordnungen für Verkehrs‑, Nutzungs- und Bestandsdaten sind ganz neue Rechtsinstrumente und umfassen deutlich mehr Daten als die anlasslose IP-Adressen-Speicherung. Sie schaffen die Möglichkeit der sofortigen Zuordnung der IP-Adressen zum Anschluss mitsamt des Kommunikationsprofils (Zeit, Ort, Dauer der Nutzung).

Die per Anordnung gesicherten Daten sollen anlassbezogen zur Strafverfolgung, aber auch zur Gefahrenabwehr genutzt werden dürfen. Die Gefahrenabwehr ist auch die Begründung des Rechtsausschusses, warum Länderpolizeien und die Geheimdienste der Länder eine Abruferlaubnis bekommen sollen: Sie seien „in erster Linie“ die zuständigen Gefahrenabwehrbehörden. Bisher sind das Bundeskriminalamt und die Bundespolizei als abrufende Behörden vorgesehen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

In einem „Entlastungsgesetz“ der Thüringer Brombeerkoalition versteckt sich die Abwicklung staatlicher Transparenzpflichten. Zivilgesellschaftliche Organisationen fordern stattdessen eine Verbesserung des bestehenden Transparenzgesetzes und mehr Digitalisierung in der Verwaltung.

Die Thüringer Regierungskoalition (CDU, SPD, BSW) will im Namen der Modernisierung ein sogenanntes „Entlastungsgesetz“ verabschieden und damit nach eigenen Angaben die Bürokratie abbauen. Die Maßnahmen haben demnach das „Ziel, Abläufe zu vereinfachen und Ressourcen zu schonen“.

Das sieht Arne Semsrott, Transparenz-Experte und Chefredakteur von FragDenStaat, anders. Gegenüber netzpolitik.org äußert dieser: „Die längst überfällige Veröffentlichungspflicht für Kommunen auf den letzten Metern noch zu streichen, passt zur peinlichen Digitalisierungs- und Demokratieverweigerung von CDU und SPD. Dass der BSW daran mitwirkt, ist auch kein Wunder.“

Die Open Knowledge Foundation (OKF), Wikimedia und der Hackspace Jena kritisieren das Gesetzesvorhaben ausführlich in ihren parlamentarischen Stellungnahmen. Der Stellungnahme des Hackspace schließt sich der Chaos Computer Club (CCC) an. Sie alle kommen zu ähnlichen Ergebnissen: Das geplante Entlastungsgesetz baut Transparenz gegenüber den Bürger:innen und Presse ab – und verfehlt sein Modernisierungsziel. Bisherige Fortschritte würden mit dem Gesetz zunichtegemacht. Auch das ausgewiesene Ziel der Landesregierung, die Effizienz zu erhöhen, werde verfehlt. Nicht trotz, sondern aufgrund des Rückbaus.

Transparenzpflicht soll Kann-Bestimmung werden

Die Organisationen sehen im Entlastungsvorhaben vor allem einen Rückbau des Thüringer Transparenzgesetzes (ThürTG) aus dem Jahr 2019. Thüringer Behörden stellen aufgrund des Gesetzes amtliche Informationen unaufgefordert auf dem Thüringer Transparenzportal (TTP) zur öffentlichen Verfügung. Diese Veröffentlichungspflichten sollen nun „zusammengekürzt werden – getarnt als ‚Bürokratieentlastung'“, moniert der CCC.

Die Vorschriften des Transparenzgesetzes sollen in „Kann-Bestimmungen“ umgewandelt werden, die auf Freiwilligkeit setzen und damit zu weniger Transparenz führen, heißt es dazu in der Stellungnahme des Hackspace Jena. „Der geplante § 6 Abs. 3 S. 1 ThürTG schafft die bisherige Transparenzpflicht de facto ab. Die Informationen aus dem gekürzten Katalog können eingestellt werden. Damit ist zu erwarten, dass die ohnehin sehr dürftigen Informationen im TTP noch weniger werden.“

Der Landesbeauftragte für Datenschutz und Informationsfreiheit Timo Melzer kritisiert die Änderungen in der Anhörung zum Gesetzesvorhaben. Sein Amt spreche sich deutlich gegen eine Umwandlung von Soll- in Kann-Bestimmungen aus. Dies diene „nicht dem Zweck des Thüringer Transparenzgesetzes, der die Förderung der demokratischen Meinungs- und Willensbildung sowie die Ermöglichung der Kontrolle staatlichen Handelns verfolgt“. Beides sei in der heutigen Zeit „wichtiger denn je, auch gerade im Hinblick auf Fake News“, so Melzer. Ohne eine verbindliche Veröffentlichungspflicht würde zudem die Qualität und Quantität der Informationen im TTP erheblich reduziert werden.

Frustrierendes Transparenzportal

Melzer sagt, dass durch die Änderung sogar ein höherer Verwaltungsaufwand möglich sei. Er ist davon überzeugt, dass die Attraktivität des TTP durch konsequente Digitalisierung gesteigert werden kann. Die tatsächliche Nutzung der Plattform ließe sich demnach erhöhen, wenn die Nutzbarkeit der Webseite verbessert werde. Beispielsweise durch ein verbessertes IT-Design und KI-Unterstützung auf dem Portal.

Der Hackspace Jena kritisiert in diesem Zusammenhang die ohnehin dürftige Bilanz des staatlichen Portals im Vergleich mit anderen Bundesländern: Seit Inkrafttreten des Transparenzgesetzes Im Jahr 2020 seien insgesamt nur 907 Dokumente eingestellt worden. Gleichzeitig habe Hamburg insgesamt 170.000 Dokumente veröffentlicht. In Rheinland-Pfalz seien es 31.000 Dokumente.

Der Hackspace kritisiert auch die technische Umsetzung des Portals selbst: Aus Sicht der Psychologie und Kognitionsforschung führten lange Ladezeiten bereits ab 5 Sekunden zu einem Gefühl von Verunsicherung und Vertrauensverlust bei den Nutzenden. Ab 15 Sekunden sei es Frustration. Nutzende würden eine Webseite unter solchen Umständen wieder verlassen – und beim TTP läge die vollständige Ladezeit zwischen 20 und 47 Sekunden. Netzpolitik.org hat die langen Ladezeiten in einer Stichprobe ebenso nachvollziehen können.

De facto Rückabwicklung zum Informationsfreiheitsgesetz

„Letztlich entwickelt sich das Transparenzgesetz zurück und ist damit im Kern nur noch ein Informationsfreiheitsgesetz“, so der Hackspace Jena in der Stellungnahme. Berichtspflichten an den Landtag entfielen. Beispielsweise für Gutachten, Stellungnahmen von Verbänden und für Kabinettsvorlagen würden Ausnahmen geschaffen. Es würden damit genau jene Dokumente herausgelöst, die für informierte gesellschaftliche Teilhabe zentral seien.

„Ein Ziel eines Transparenzgesetzes sollte es sein, den Bürgerinnen und Bürgern Informationen auch während des normsetzenden Verfahrens zur Verfügung zu stellen“, so Hackspace Jena. Die Ausnahmen sorgten nun dafür, dass Dokumente „erst nach Abschluss des Verfahrens und auf Antrag zur Verfügung stehen“. Damit werde die Möglichkeit eingeschränkt, das Verfahren überhaupt noch beeinflussen zu können.

Informationsfreiheitsgesetze regeln den voraussetzungslosen Zugang zu amtlichen Informationen. Doch unter dieser Maßgabe bleibt Transparenz auf die Eigeninitiative von Bürger:innen und Journalist:innen angewiesen – die Informationen müssen extra angefragt werden. Transparenzgesetze verfolgen demgegenüber das Ziel, die Behörden zu einer unaufgeforderten Veröffentlichung zu verpflichten.

Laut der Stellungnahme der OKF, Betreiberin der Plattform FragDenStaat, werde nun aus der Pflicht, digitale Dokumente vorzulegen, ein Ermessen, dies zu verweigern. Auch die Rechte des Landesbeauftragten für den Datenschutz und die Informationsfreiheit würden de facto abgeschwächt.

Abbau von Transparenz führt zu Ineffizienz

Die Thüringer Landesregierung begründet das „Entlastungsgesetz“ mit zwei Hauptargumenten: Die Transparenzpflicht würde Personalressourcen binden. Ein prominent genanntes Beispiel ist dabei der Aufwand durch Schwärzungen. Zudem werde das Portal ohnehin kaum genutzt, während kommerzielle Suchmaschinen in der Regel schnellere Ergebnisse lieferten. Beide Argumente seien laut den Stellungnahmen ungültig – und zwar unter Berufung auf den Evaluationsbericht, den die Landesregierung selbst beim Deutschen Forschungsinstitut für öffentliche Verwaltung in Auftrag gegeben hat.

Laut der OKF kam das Institut in dem rund 200 Seiten starken Bericht zu dem Ergebnis, dass es am Vollzug der Regelungen mangele – nicht, dass der Verwaltungsaufwand ein Problem darstelle. Vielmehr gäbe es „‚deutliche Vollzugsdefizite‘ beim Einstellen von Informationen, die auch auf unklare Formulierungen in den §§ 5 und 6 ThürTG zurückzuführen seien“.

„Anstelle einer Abschwächung der Transparenz empfiehlt die Evaluation eine Schärfung der Definitionen sowie die Verfolgung des in anderen Bundesländern gängigen ‚Access for one – Access for all‘-Ansatzes, bei dem individuell beantragte Informationen automatisch auch ins Transparenzportal überführt werden“, so die OKF. Es könne zudem keine Lösung sein, die Bereitstellung staatlicher Informationen an Privatkonzerne zu übertragen – zumal bei Suchmaschinen ohnehin nur gelistet werden könne, was vorher auch veröffentlicht wurde.

Regierungskoalition ignoriert Evaluationsbericht

Auch der Hackspace Jena quittiert der Landesregierung insgesamt: „Bei dem vorliegenden Entwurf ist nicht zu erkennen, dass diese Vorschläge umgesetzt worden oder dass diese Erkenntnisse irgendwie in den Entwurf eingeflossen sind.“

Dem Aufwand von Schwärzungen ließe sich durch eine konsequente Digitalisierung der Verwaltung ebenfalls begegnen, so die Stellungnahme von Wikimedia, und zwar automatisiert, „technisch wirksam und ohne weiteres Zutun“ indem personenbezogene Sachverhalte in Dokumenten maschinenlesbar codiert werden. Es sei demnach die IT-Infrastruktur zu modernisieren, die gleichsam die Voraussetzung für weitere Modernisierungsvorhaben sei.

„Die geplanten Änderungen des Thüringer Transparenzgesetzes gehen an der ausweislichen Zielstellung des Thüringer Entlastungsgesetzes vorbei“, kritisiert Wikimedia ferner. Wenn die Handlungsfähigkeit und Effizienz der Verwaltung durch das ThürTG beeinträchtigt werde, sei dies lediglich ein Indikator für mangelnde Verwaltungsdigitalisierung. Die automatisierte Veröffentlichung von Dokumenten schaffe nicht nur Transparenz, sondern auch eine Grundlage für viele weitere alltägliche Behördenabläufe – intern oder im Austausch mit den Bürger:innen.

Probleme bei personellen Ressourcen ausgerechnet durch den Abbau von Transparenzvorschriften lösen zu wollen, sei deshalb kontraproduktiv, so Wikimedia. Grundlegende Ursachen würden dadurch nicht angegangen, sondern lediglich die „sichtbaren Konsequenzen abgeschafft“. Dies mache es in der Zukunft umso schwerer, Effizienzprobleme zu erkennen.

Gemeinde- und Städtebund begründet mit Personalmangel

Dr. Carsten Rieder, geschäftsführendes Vorstandsmitglied des Gemeinde- und Städtebundes Thüringen, argumentiert in der Anhörung zum Gesetzesvorhaben dennoch mit einer Mehrbelastung für die Kommunen. Transparenz werde prinzipiell unterstützt, aber durch die Pflichten entstünden personelle Mehrbelastungen im Verwaltungsalltag. Zudem gäbe es Berichte von Einzelfällen, in denen Verwaltungseinheiten mit Anfragen überhäuft würden. Die Transparenzgesetze könnten demnach „ansatzweise missbräuchlich“ genutzt werden, um „Verwaltungen lahmzulegen“.

Melzer sieht auch in dieser Hinsicht das Potenzial bei technischen Lösungen, die Missbrauch verhindern können. Nach seinem Kenntnisstand würden Mitarbeitende der Kommunen das TTP zudem selbst nutzen, um sich einen schnellen Informationsüberblick zu verschaffen.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Bundesregierung nimmt einen dritten Anlauf zur Vorratsdatenspeicherung. Internet-Zugangs-Anbieter sollen IP-Adressen aller Nutzer speichern – anlasslos und massenhaft. Internet-Dienste wie E-Mails und Messenger müssen auf Anordnung ebenfalls Daten speichern und herausgeben.

Die Bundesregierung hat heute den Gesetzentwurf zur Vorratsdatenspeicherung beschlossen. Damit geht das Gesetz in den Bundestag.

Das Gesetz verpflichtet Internet-Zugangs-Anbieter, IP-Adressen und Port-Nummern sämtlicher Nutzer drei Monate lang zu speichern, ohne Anlass und ohne Verdacht auf eine Straftat. Behörden dürfen ohne Richtervorbehalt darauf zugreifen.

Auf Anordnung müssen auch Internet-Dienste wie E-Mail-Anbieter und Messenger Verkehrsdaten speichern und herausgeben.

Das ist bereits das dritte Gesetz zur Vorratsdatenspeicherung in Deutschland. Sowohl das erste Gesetz von 2007 als auch das zweite Gesetz von 2015 wurden von höchsten Gerichten gekippt.

Die verfassungswidrigen Vorgänger-Gesetze wurden mit Terrorismus begründet. Die Bundesregierung begründet das neue Gesetz mit Fake-Shops und digitaler Gewalt.

Mehr Behörden, mehr Fälle

Im Dezember hatte SPD-Justizministerin Stefanie Hubig einen ersten Gesetzentwurf vorgestellt. In den Verhandlungen mit Innen- und Digitalministerium wurden noch ein paar Dinge verändert.

Ursprünglich sollten nur Strafverfolgungs- und Polizeibehörden die Vorratsdaten abfragen. Jetzt dürfen auch „andere berechtigte Stellen“ die Daten nutzen, darunter Geheimdienste wie Verfassungsschutz, Finanzbehörden und Zoll.

Die Behörden sollen Verkehrsdaten nicht mehr nur abfragen dürfen, wenn eine Ermittlung „auf andere Weise aussichtslos wäre“, sondern breits, wenn sie sonst „wesentlich erschwert wäre“.

Der neue Entwurf stellt klar, dass lokale WLANs nicht unter die Speicherpflicht fallen, neben Hotels auch Freifunk. Daten sollen nicht länger als drei Monate gespeichert werden, auch wenn eine Internet-Verbindung länger besteht. Das war im ersten Entwurf noch vorgesehen.

Berufsgeheimnisträger sollen nicht geschützt werden, das hatten unter anderem Medien-Vereinigungen vergeblich gefordert.

Hunderttausende Abfragen

Grundrechtseingriffe müssen notwendig und verhältnismäßig sein. Andere Länder wie die USA haben keine Vorratsdatenspeicherung, dort ist sie nicht notwendig. Deutschland hatte schon mal eine Vorratsdatenspeicherung. Damals hat das Max-Planck-Institut für Strafrecht wissenschaftlich untersucht: Es gibt ohne Vorratsdatenspeicherung keine Schutzlücken in der Strafverfolgung.

Im Gesetzentwurf versucht die Bundesregierung abzuschätzen, wie oft die Polizei Vorratsdaten abfragen wird. Sie kommen auf 143.000 pro Jahr – 86.000 Abfragen durch das Bundeskriminalamt und 57.000 Abfragen durch die Länder.

Diese Schätzung widerspricht den Daten der Telekom. Ganz ohne Vorratsdatenspeicherung hat die Telekom in einem Jahr fast 290.000 Abfragen zu IP-Adressen bekommen – wegen mutmaßlicher Urheberrechtsverletzungen im Internet.

Tausende Anbieter betroffen

Die Speicherpflicht betrifft „unterschiedslos alle Anbieter von Internetzugangsdiensten“, in Deutschland etwa 700. Verbände rechnen mit Kosten von ein bis zwei Millionen Euro für große und 80.000 Euro für kleine Internet-Anbieter.

Die Abfrage von Verkehrsdaten betrifft „alle Anbieter von Telekommunikationsdiensten“, also auch Anbieter für E-Mail und Messenger. Die Bundesnetzagentur rechnet mit „rund 3.000 Verpflichteten“. Nicht alle Anbieter sind auch kommerzielle Unternehmen, es gibt auch ehrenamtliche und gemeinnützige Anbieter.

Die Bundesregierung schafft also mehr Regulierung und Belastungen für Internet-Dienste, gegen deren Willen.

„Rechtswidrig, fehlgeleitet, gefährlich“

Vor 20 Jahren haben zehntausende Menschen gegen die Vorratsdatenspeicherung demonstriert. Auch heute ist der Widerstand breit.

Der Deutsche Anwaltverein kritisierte bereits den Entwurf mit deutlichen Worten: Die Regierung „setzt sich über die europarechtlichen Maßgaben hinweg“ und steht „nicht mit den grundrechtsschützenden Intentionen des Gerichtshofs in Einklang“. Eine „wirksame Begrenzung der Verwendungszwecke“ fehlt, deshalb ist „die vorgeschlagene Vorratsdatenspeicherung europarechtswidrig“.

Die Digitale Gesellschaft kritisiert:

Die Vorratsdatenspeicherung ist immer noch ein fehlgeleiteter Ansatz. Es gibt keine Evidenz für die Verhältnismäßigkeit dieser radikalen Massenüberwachung. Tatsächlich wären in erheblichem Ausmaß unbescholtene Bürger*innen betroffen.

Das Zentrum für Digitalrechte und Demokratie kritisiert:

In einer Zeit, in der neue Technologien immer stärker in die Privatsphäre eindringen und zugleich autoritäre Kräfte an Macht und Einfluss gewinnen, stellt sich noch die Frage: Was passiert, wenn Regierungen ihre Polizeibehörden dazu anweisen oder ermuntern, ihre Zugriffsmöglichkeiten auf IP-Adressen und Portnummern zu nutzen, um gegen politische Gegner vorzugehen?

Anwaltverein: „Rechtmäßigkeit fraglich“

Update: Der Deutsche Anwaltverein kritisiert:

Auch eine abgespeckte Vorratsdatenspeicherung bleibt eine Vorratsdatenspeicherung. Die anlasslose IP-Adressenspeicherung betrifft die Rechte von Millionen unbescholtener Bürgerinnen und Bürger – während Kriminelle genügend Möglichkeiten kennen, ihre Identität zu verschleiern.

Die Speicherdauer von drei Monaten geht deutlich über das erforderliche Maß hinaus. Für die Verwertung ist weder eine richterliche Kontrolle noch eine Beschränkung auf eine Mindestschwere der aufzuklärenden Straftat vorgesehen. Damit ist die Vereinbarkeit mit Verfassungs- und Europarecht fraglich.

Linke: „Massenüberwachung durch die Hintertür“

Update: Die Linke im Bundestag kritisiert:

Dieser Entwurf wird erneut vor den Gerichten krachend scheitern. Ich fordere die Bundesregierung auf, diese Täuschung zu beenden und den Entwurf zurückzuziehen. Als Linke lehnen wir jegliche Vorratsdatenspeicherung ab.

Internetwirtschaft: „Beschluss hochproblematisch“

Update: Der Verband der Internetwirtschaft eco kritisiert:

Auch nach dem Kabinettsbeschluss gilt: Der Entwurf verfehlt die Vorgaben des Europäischen Gerichtshofs und schafft erneut eine anlasslose Datenspeicherung ohne nachweisbaren Mehrwert für die Strafverfolgung. Drei Monate IP-Adressspeicherung bedeuten nicht mehr Sicherheit, sondern mehr Datenspeicherung auf Verdacht.

Grüne: „Zentrales Bürgerrechtsthema“

Update: Die Grünen im Bundestag kritisieren:

Auch die jüngste Vorlage der Bundesregierung mit einer dreimonatigen Speicherfrist begegnet weiterhin erheblichen juristischen Bedenken, bspw. mit Blick auf die Frage, ob die dezidierten Vorgaben höchster Gerichte (die u.a. die Speicherdauer auf das absolute Minimum beschränken) eingehalten werden. Die Gefahr, dass auch diese Regelung nicht lange Bestand haben wird, ist daher sehr real.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Datenschutzbeauftragte von Nordrhein-Westfalen geht mit der im neuen Polizeigesetz geregelten automatisierten Datenanalyse hart ins Gericht. In ihrem Tätigkeitsbericht bezweifelt sie die Rechtmäßigkeit der Norm, die den Einsatz von Palantir-Software erlaubt. Der NRW-Innenminister Herbert Reul liebäugelt mit Palantir-Alternativen.

Einige Regelungen im neuen Polizeigesetz von Nordrhein-Westfalen durchbrechen den Grundsatz der Zweckbindung. Das schreibt die Datenschutzbeauftragte von Nordrhein-Westfalen, Bettina Gayk, in ihrem am Freitag veröffentlichten 31. Tätigkeitsbericht für 2025. Sie begründet darin ihre „Zweifel an der Verfassungsmäßigkeit“ des Gesetzes. „Trotz mehrfacher Intervention“ wurden ihre Einwände jedoch „im Gesetzgebungsverfahren nicht berücksichtigt“. Viel deutlicher hätte die Datenschutzbeauftragte zur Ignoranz ihrer Expertise durch die Landesregierung nicht werden können.

Nach mehreren Entscheidungen des Bundesverfassungsgerichts in den letzten Jahren musste Nordrhein-Westfalen sein Polizeigesetz anpassen. Auch für die darin geregelte automatisierte Datenanalyse machte Karlsruhe im Februar 2023 neue detaillierte Vorgaben.

Der etwas sperrige Rechtsbegriff „automatisierte Datenanalyse“ beschreibt die übergreifende Auswertung von polizeilichen Datensammlungen, die in NRW mit Hilfe des US-Konzerns Palantir vollzogen wird. Innenminister Herbert Reul (73, CDU) hatte in einem Interview mit dem Merkur im Sommer 2025 erklärt, bei dem Anbieter zunächst bleiben zu wollen. Der Fünf-Jahres-Vertrag mit Palantir wurde dann zwar verlängert, aber nur bis Oktober 2026.

Gayks Kritik bezieht sich auch auf den Konzern, vor allem aber richtet sie sich gegen die rechtlichen Regelungen: Die polizeilichen Befugnisse bei der Datenanalyse in NRW wurden nach dem Palantir-Urteil des Bundesverfassungsgerichts nicht etwa beschnitten, sondern beträchtlich ausgebaut und erlauben nun beispielsweise auch „KI“-Training. Diese erheblich erweiterten Analysebefugnisse im Polizeigesetz (§ 23 Abs. 6) wurden vom Landtag bereits beschlossen.

„Sogar noch einmal verschärft“

Gayk kritisiert in der Pressemitteilung zu ihrem Tätigkeitsbericht, den sie NRW-Landtagspräsident André Kuper (CDU) übergab, den generellen Trend zu „ungezügelter Datennutzung“. Zudem würden Gesetze „teils im Eilverfahren verabschiedet“, so dass der Schutz der Grundrechte „nicht mit der notwendigen Sorgfalt berücksichtigt“ werde.

Beim Polizeigesetz wird Gayk in ihrem Tätigkeitsbericht besonders deutlich. Denn „schon beim ursprünglichen Text des PolG NRW“ wären „gesetzliche Ergänzungen“ notwendig gewesen. Das hätte sie auch in ihrer damaligen Stellungnahme deutlich gemacht. Die Verantwortlichen ignorierten die Expertise ihrer Datenschutzbeauftragten. Gayk schreibt:

Doch die Landesregierung ist darauf nicht nur nicht eingegangen – sie hat im überarbeiteten PolG NRW das Eingriffsgewicht möglicher polizeilicher Datenanalysen sogar noch einmal verschärft. Das hat zur Folge, dass das neue Gesetz erst recht nicht die Anforderungen an eine verfassungskonforme Norm erfüllen dürfte.

Denn nach den neuen Befugnissen dürfen nicht nur „Beziehungen oder Zusammenhänge zwischen Personen, Personengruppierungen, Institutionen, Organisationen, Objekten und Sachen hergestellt werden“, sondern auch „selbstständig arbeitende oder selbstlernende Systeme“ eingesetzt werden. Damit sind kaum eingegrenzte Formen von Software-Auswertungen gemeint, auch mit sogenannter „Künstlicher Intelligenz“. Polizeiliche Daten aus Registern oder Fahndungssystemen können beispielsweise mit Telekommunikationsdaten und vielen weiteren Datenarten verknüpft und automatisiert ausgewertet werden.

All dies hatte Gayk auch „zusätzlich in einer an den Landtag NRW gerichteten Stellungnahme deutlich gemacht“. Doch auch im Landtag fruchteten ihre Argumente nicht: „Keiner dieser Hinweise wurde im Gesetzgebungsverfahren berücksichtigt.“

Die Datenschutzbeauftragte ruft dabei ins Gedächtnis, dass bei der ersten Einführung der Datenanalyse in NRW noch besonders betont worden sei, „dass dieser Eingriff keine große Intensität aufweise – da KI gerade nicht zum Einsatz komme“. Jetzt hingegen sei nicht nur der Einsatz von „KI“ erlaubt, sondern sogar das „KI“-Training.

Im Jahr 2022 wurde im Polizeigesetz die Rechtsgrundlage für die Datenanalyse geschaffen, die in NRW den Namen DAR (Datenbankübergreifende Analyse- und Recherche) trägt und von Palantir schon seit 2019 für mindestens 39 Millionen Euro bereitgestellt wird. Seit dem Bohei um „KI“ wirbt der journalistenfeindliche Konzern mit bizarrer politischer Agenda damit, dass auch seine Software Künstliche Intelligenz beinhalte.

Software-Training

Die neue Regelung zum „KI“-Training enthält die Erlaubnis zur „Entwicklung, Überprüfung, Änderung oder zum Trainieren von IT-Produkten“. Das werfe zusätzliche Probleme auf, wenn die Polizei NRW dazu gespeicherte echte Daten von Menschen verwenden darf. Denn die Norm sehe „so gut wie keine Einschränkungen oder Voraussetzungen vor“, so Gayk. Zwar sollen die in das Training einfließenden Daten grundsätzlich anonymisiert werden. Aber das wurde ausgehebelt durch den Zusatz, dass die Anonymisierung auch unterbleiben kann, wenn sie „voraussichtlich mit einem hohen Aufwand verbunden“ ist.

Die Datenschutzbeauftragte hatte im Gesetzgebungsprozess gefordert, dass keine identifizierenden Informationen in das Software-Training einfließen sollen. Schließlich sei „die KI darauf ausgelegt“, Zusammenhänge zwischen Daten zu erkennen. Die könnten auch dann hergestellt werden, wenn der Name weggelassen würde. „Eine Anonymisierung gestaltet sich damit generell schwierig“, so Gayk.

Doch sie blieb auch mit diesem Einwand ungehört. Die NRW-Datenschützerin senkt nun zum „KI“-Training klar den Daumen:

Insgesamt sind im Gesetz nicht ansatzweise ausreichende Maßnahmen geregelt, um den mit der Nutzung zu Trainingszwecken einhergehenden Risiken […] angemessen zu begegnen.

Umdenken bei Herbert Reul

Neben diesen rechtlichen Bedenken beim „KI“-Training weisen Juristen schon länger auf das Problem, dass durch die Zusammenarbeit mit dem US-Konzern Palantir Polizeidaten in die Vereinigten Staaten abfließen könnten. Auch die NRW-Datenschutzbeauftragte betont in ihrem Bericht, dass sie die Landesregierung darauf hingewiesen hätte, „dass der Programmanbieter der US-amerikanischen Gesetzgebung unterliegt“. Gayk macht deutlich, dass zwei US-Gesetze hier einschlägig wären, nämlich der US CLOUD Act aus dem Jahr 2018 und der US Foreign Intelligence Surveillance Act. Diese böten US-Behörden „weitreichende Möglichkeiten, auf die Daten des Anbieters zuzugreifen“:

Da das Programm den Polizeidatenbestand nahezu vollständig einbezieht, würde dieser Datenbestand dann, wenn er im Zusammenhang mit KI-Training auch dem Programmanbieter zur Verfügung steht, nicht kontrollierbaren Zugriffen der US-Behörden unterliegen.

An dem seit 2017 amtierenden Innenminister Herbert Reul scheinen solche Hinweise nicht mehr gänzlich abzuprallen. Denn dass in NRW weiter mit Palantir zusammengearbeitet wird, ist nicht mehr ausgemacht. Der Widerstand gegen den US-Konzern ist zwischenzeitlich wohl zu deutlich gewachsen.

Reul sucht nun eine neue Analysesoftware für die Polizei, wie die dpa am Wochenende meldete. Denn Mitte Oktober läuft der Vertrag mit Palantir aus. Offenbar hat das vom US-Konzern und auch von deutschen Polizeianwendern gern besungene fast mythische Ansehen der Palantir-Software, der aktuell kein anderer Anbieter im Markt funktional das Wasser reichen kann, einige Kratzer bekommen.

An Gayks Einschätzungen zur Rechtmäßigkeit der gesetzlichen Regelungen zur automatisierten Datenanalyse in NRW ändert ein möglicher neuer Vertragspartner aber nichts. Denn ihre Kritik richtet sich gegen die außerordentlich weitgehenden Befugnisse, nicht nur gegen den Anbieter.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Das Digitalministerium hatte die Zivilgesellschaft aufgerufen, sich beim Deutschland-Stack einzubringen. Doch in beiden Konsultationsphasen wurde deren Expertise nicht gefragt. Dabei bringt die Zivilgesellschaft Fragen ein, die sonst untergehen. Das zeigt der Workshop zu „KI in der Verwaltung“ des Bündnisses F5.

Der Deutschland-Stack ist das Großprojekt des jungen Bundesministeriums für Digitales und Staatsmodernisierung schlechthin. Damit will Karsten Wildberger (CDU) ein „digitales Update“ (€) für Deutschland. Mit der „einheitlichen IT-Infrastruktur mit Basiskomponenten wie Cloud- und IT-Diensten und klar definierten Schnittstellen“ adressiert er die grundlegenden Versäumnisse der seit Jahren schleppenden Digitalisierung der öffentlichen Verwaltung.

Eigentlich könnte das Ministerium hier aus dem Vollen zivilgesellschaftlicher Expertise schöpfen. Viele zivilgesellschaftliche Akteure beobachten die scheiternde Verwaltungsdigitalisierung nicht nur seit Jahrzehnten, sondern bringen ihr Wissen und ihre Erfahrungen häufig ehrenamtlich in Digitalisierungsprojekte und nachhaltige Lösungswege ein.

Zum Start des Konsultationsprozesses im Herbst erhielt das Ministerium zunächst viel Lob. Öffentlich rief es Gruppen, Verbände, aber auch Einzelpersonen dazu auf, über die Plattform openCode ihr Feedback zum Stack einzubringen. Der Zugang dazu ist niedrigschwellig und die einzelnen Beiträge sind öffentlich einsehbar. Die volle Transparenz hebt hier die Konsultation stark von bisherigen Beteiligungsformaten ab.

Workshops ohne die Zivilgesellschaft

Doch um Feedback zu bekommen, fährt das Ministerium von Anfang an zweigleisig. Denn zeitgleich zur offenen Konsultation plante es Workshops mit Verbänden aus den Bereichen Start-ups, Wissenschaft, IT- und Digitalwirtschaft sowie weiteren. Mit von der Partie waren vor allem Wirtschaftsverbände. Dabei erhielt die Zivilgesellschaft bislang keinen Zugang.

Was bei den Workshops herauskam, ist nicht bekannt. Die hätten „generell im Haus intern und auf Arbeitsebene stattgefunden – zu diesen gibt es keine öffentliche Berichterstattung“, erklärt ein Sprecher des BMDS gegenüber netzpolitik.org.

Wie aus der Antwort (PDF) der Bundesregierung auf eine Kleine Anfrage von Sonja Lemke (Die Linke) hervorgeht, gab es im November fünf Workshops – zu den Themen Markt und Integrationsplattform, Startups und Agentic AI. Sie wurden unter anderem ausgerichtet von eco, dem KI-Verband, Bitkom und Databund. Die Bundesregierung betonte, sie habe Expertise zum Thema „technische Standards und Technologien des Deutschland-Stacks“ angefragt, aber an den Workshops lediglich als „Impulsgeber“ teilgenommen.

Digitalministerium lässt sich bitten

Bei der Terminvergabe ging die Zivilgesellschaft leer aus, sowohl in der ersten Konsultationsphase vom 1. Oktober bis zum 30. November als auch in der zweiten vom 16. Januar bis zum 15. Februar. Dabei hatte das Bündnis F5 bereits im Herbst beim Ministerium nach einem Termin gefragt, so Kai Dittmann. Er leitet die Advocacy- und Policyarbeit bei der Gesellschaft für Freiheitsrechte (GFF) und koordiniert das Bündnis.

Zu diesem Bündnis haben sich die Organisationen Reporter ohne Grenzen, AlgorithmWatch, Wikimedia Deutschland, Open Knowledge Foundation Deutschland und GFF zusammengeschlossen, sie setzen sich für eine gemeinwohlorientierte Digitalpolitik ein.

„Wir hatten gehofft, dass das BMDS von sich aus einen Konsultationsworkshop zum Deutschland-Stack anbietet“, sagt Dittmann, „um zunächst ein paar grundlegende Informationen zu vermitteln, etwa was zum Stack gehört und was nicht. Es wäre sinnvoll gewesen, zu Beginn darüber zu diskutieren, bei welchen Fragestellungen die Zivilgesellschaft aktiv eingebunden sein sollte“, etwa bei der Frage nach dem Einsatz digitaler Identitäten und danach, wie der sich auf Grundrechte auswirkt und wie er eingeschränkt werden müsste. Auch zur Frage einer sinnvollen Datenhaltung, um diesen Deutschland-Stack zu befüllen, hätte das BMDS von der Expertise von Wikimedia profitieren können, so Dittmann.

F5-Workshop zu KI in der Verwaltung

Schließlich fand Ende März ein Workshop mit F5 statt. Das Thema: „KI in der Verwaltung“. Doch wie das BMDS auf Anfrage erklärt, habe der Workshop „keinen speziellen Bezug zum Deutschland-Stack“. Das überrascht in doppelter Hinsicht. Denn laut Antwort der Bundesregierung vom Dezember sei ein Workshop mit der Zivilgesellschaft „in Klärung“ und als Organisation benannte sie das Bündnis F5. Das suggeriert, dass der F5-Workshop im Kontext des Deutschland-Stacks geplant war.

Zweitens waren bei diesem Workshop laut BMDS nicht nur Vertreter:innen aus der Zivilgesellschaft eingeladen, sondern auch aus der Wirtschaft. Überraschend ist die „Klarstellung“ des Ministeriums auch, weil KI im überarbeiteten „Gesamtbild“ ausdrücklich Teil des Deutschland-Stacks ist.

Agentische KI soll Verwaltungsaufgaben künftig erleichtern und teilweise übernehmen. Dazu hat das BMDS einen eigenen Hub gegründet und fördert eine Reihe an Pilotprojekten. Eines davon setzt agentische KI beim Antragsverfahren für Wohnberechtigungsscheine ein. Sie betrifft einen sensiblen Bereich, in dem es um die Existenz von Menschen geht. Fehler wären hier verheerend. Das veranschaulicht das Beispiel um die Kindergeldaffäre in den Niederlanden.

„Ins Machen kommen“ braucht klare Grenzen

„Im Workshop haben wir viele Fragen erst angerissen“, so Dittmann. Wie gehen Verwaltungen und Mitarbeiter:innen etwa damit um, wenn was schief geht? Wer trägt die Verantwortung für den Fall, dass Fehler passieren, die unter Umständen gravierende Konsequenzen haben? Der Sachbearbeiter, die Software-Hersteller, der IT-Dienstleister, die Behörde, die das KI-System eingekauft hat, oder der Minister, der das Ganze vorangetrieben hat? Wer ist zuständig, wenn entsprechende KI-Systeme nicht die gewünschten Ergebnisse liefern?

Was passiert, wenn ein einzelner Sachbearbeiter mithilfe von KI-Agenten immer mehr Anträge bearbeitet und etwas übersieht? „Müssen wir mit einer Verantwortungsdiffusion in diesem System rechnen?“, fragt Dittmann. Denn klar sei, die Maschine kann keine Verantwortung tragen.

Das alles seien gesellschaftliche Fragen, über die wir sprechen und die wir klären müssten. Angesichts des Mottos „ins Machen kommen“ seien sie bislang untergegangen. Ins Machen zu kommen, heiße aber auch zu entscheiden, „was wir alles nicht machen“ und Grenzen abzustecken, so Dittmann.

Aufsuchende Beteiligung

Dass das BMDS im Rahmen des D-Stacks die Zivilgesellschaft auf Abstand hält, ist umso unverständlicher, als es laut Sprecher beim KI-Transformationsprozess ausdrücklich darum gehe, deren Perspektiven einzubeziehen.

Auch wenn die Kommunikation des Ministeriums bislang unstet war, den Workshop Ende März sieht Dittmann als Startschuss dafür, zivilgesellschaftliche Expertise nicht nur einzubeziehen, sondern auch als Ressource zu begreifen. Die könne das Ministerium noch mehr nutzen, wenn es sich um eine aufsuchende Beteiligung bemüht.

Das kann bedeuten, die Expertise engagierter Menschen über andere Wege einzuholen. Denn die arbeiten häufig ehrenamtlich und können Workshops nicht wahrnehmen, wenn die an einem Werktag zu normalen Geschäftszeiten stattfinden. Das betrifft zum Beispiel Ehrenamtliche von D64, dem Zentrum für digitalen Fortschritt, vom Chaos Computer Club oder InÖG, dem Innovationsverbund öffentliche Gesundheit.

Das Ministerium könnte Forschungsmittel bereitstellen oder bei Forschenden anfragen, welche Personen oder ehrenamtlichen Organisationen sich bei bestimmten Fragen besonders gut auskennen. Beispielsweise könne das BMDS auch nach Erfahrungen fragen, die ehrenamtliche Digitalisierungsprojekte in Berlin, auf Bundesebene, aber auch in Städten und kleineren Gemeinden eingeholt haben.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die Justizministerin hat das lange erwartete Gesetz zum Schutz vor digitaler Gewalt vorgelegt. Betroffene sollen mutmaßliche Täter*innen leichter verklagen können. Für sexualisierte Deepfakes drohen bis zu zwei Jahre Haft. Im Entwurf steckt aber auch die Neuauflage der Speicherung von IP-Adressen.

Bundesjustizministerin Stefanie Hubig (SPD) hat am heutigen Freitag einen Gesetzentwurf vorgestellt, der Betroffene digitaler Gewalt besser schützen soll. Digitale Gewalt sei ein „Massenphänomen“, sagte Hubig bei der Vorstellung der Pläne. „Im Zeitalter von KI, hochauflösenden Smartphone-Kameras und sozialen Netzwerken ist es einfacher als je zuvor, Menschen in aller Öffentlichkeit zu demütigen, zum Sexualobjekt herabzuwürdigen und in ihrer Intimsphäre zu verletzen.“ Millionen von Menschen seien betroffen, „besonders häufig Frauen“.

Der Referentenentwurf ist zu einem der meist beachteten Projekte des Ministeriums geworden, nachdem der Spiegel vor zwei Wochen erstmals die Vorwürfe der Schauspielerin Collien Fernandes gegen ihren Ex-Mann Christian Ulmen öffentlich gemacht hatte. Über seinen Anwalt geht er gegen die Berichterstattung vor; es gilt die Unschuldsvermutung. Die Staatsanwaltschaft Potsdam ermittelt.

Hubig hatte den Fall zum Anlass genommen, auf den bereits im Koalitionsvertrag beschlossenen, fast fertigen Gesetzentwurf hinzuweisen und angekündigt, ihn bald vorzustellen. Nun ist es so weit.

Zu „digitaler Gewalt“ zählt das Ministerium laut Entwurf ein breites Spektrum an Taten, unter anderem „Hate Speech“, also Beiträge, die andere bedrohen, abwerten oder zu Straftaten aufrufen. Ebenso zählt dazu das unerlaubte Veröffentlichen von Daten wie Adresse oder Telefonnummer („Doxing“), das unerwünschte Versenden pornografischer Bilder („Dickpics“), der gezielte Kontakt zu Kindern mit sexueller Absicht („Cybergrooming“), außerdem bildbasierte Gewalt, Cybermobbing, Cyberstalking und Identitätsmissbrauch, etwa wenn Fake-Profile einer anderen Person erstellt werden.

Heimliches Filmen und sexualisierte Deepfakes

Der Entwurf basiert auf zwei Säulen. Die erste ist eine strafrechtliche Säule, die wir bereits Ende März veröffentlicht und analysiert haben. Darin vorgesehen sind drei neue Straftatbestände.

• Geplant ist demnach eine Überarbeitung des geltenden § 184k Strafgesetzbuch (StGB), der die Verletzung der Intimsphäre durch Bildaufnahmen regelt. Er soll künftig nicht nur das sogenannte Upskirting umfassen, sondern auch weitere Phänomene bildbasierter Gewalt, etwa das nicht-einvernehmliche Filmen in öffentlichen Saunen oder Umkleiden oder sexualisierte Deepfakes. Auch das Filmen bekleideter Körperteile wie Genitalien, Gesäß oder weiblicher Brust “in sexuell bestimmter Weise” soll verfolgt werden können. Strafmaß: bis zu zwei Jahre Haft.
• Mit einem neuen Paragrafen zur „Verletzung von Persönlichkeitsrechten durch täuschende Inhalte“ (§ 201b StGB) soll zudem das Erstellen und Verbreiten solcher Deepfakes unter Strafe gestellt werden, die “geeignet sind, dem Ansehen der dargestellten Person erheblich zu schaden”.
• Eine weitere neue Vorschrift soll außerdem das unbefugte digitale Tracken und Ausspionieren einer anderen Person unter Strafe stellen. Solches Verhalten war bislang schon im Rahmen von Nachstellung strafbar.

Auskunft zu anonymen Accounts

Neu und bislang unbekannt ist dagegen die zivilrechtliche Säule des Entwurfs. Die neuen Regeln sollen es für Betroffene von etwa beleidigenden und herabsetzenden Postings einfacher machen, selbst vor Gericht dagegen vorzugehen.

Betroffene sollen von Plattformen und Internetzugangsanbietern leichter als bisher Auskunft über die Identität einer Person hinter einem anonymen oder pseudonymen Account bekommen. Dazu sollen Anbieter künftig – sofern vorhanden – den Klarnamen und die Adresse herausgeben, wenn ein Gericht dies anordnet. Beides wird gebraucht, damit Betroffene etwa auf Unterlassung oder Schadensersatz klagen können.

Betroffene sollen eine solche Auskunft vor dem Landgericht beantragen können. Dazu müssen sie glaubhaft machen, dass eine unbekannte Person eine Rechtsverletzung begangen hat, und sie gegen diese Person zivilrechtliche Ansprüche geltend machen wollen. „Das Auskunftsverfahren ist insbesondere für Fälle gedacht, in denen die Rechtsverletzer ihre strafbaren Inhalte über einen anonymen Account in den sozialen Netzwerken verbreiten“, schreibt das Ministerium dazu.

Neu ist außerdem, dass sich Betroffene in einem Verfahren „durch zivilgesellschaftliche Organisationen als Bevollmächtigte vertreten lassen“ können, sofern das unentgeltlich – also kostenlos – geschieht. Auch das soll die Schwellen für Betroffene senken: Hilfsorganisationen könnten dann zumindest manchen Betroffenen die Kosten und Strapazen eines Gerichtsverfahrens abnehmen.

„Vorsorglich gespeicherte IP-Adressen“

Der Entwurf soll auch die Vorratsdatenspeicherung zurückbringen. Das ist ein umstrittenes Verfahren zur Massenüberwachung im Netz, das in Deutschland seit 2017 ausgesetzt ist. Im Zuge des Auskunftsanspruchs für Betroffene richtet das Gesetz den Blick zu Plattformen und Zugangsanbieter wie Vodafone oder die Telekom. Sie sollen künftig durch eine beweissichernde Anordnung dazu verpflichtet werden können, “bereits bei ihnen vorhandene Daten” über mutmaßliche Rechtsverletzer*innen zu sichern. Dazu sollen sie auch „vorsorglich gespeicherte IP-Adressen” verwenden. Der aktuell diskutierte Entwurf für die Vorratsspeicherung sieht vor, dass IP-Adressen für voraussichtlich drei Monate gespeichert werden sollen.

Die Vorratsdatenspeicherung wurde in Deutschland erstmals 2007 eingeführt, nach einem Urteil des Bundesverfassungsgerichts jedoch wieder aufgehoben, weil sie gegen Grundrechte verstieß. Eine neue Regelung von 2015 wurde später durch Urteile des Europäischen Gerichtshofs faktisch gestoppt, weil eine anlasslose, flächendeckende Speicherung von Kommunikationsdaten gegen EU-Recht verstößt.

Auf die Frage, wie sich das Vorhaben für eine erneute Speicherung von IP-Adressen mit dem EU-Recht vereinbaren lasse, sagte Hubig, es gehe bei dem Entwurf, der kommende Woche im Kabinett vorgelegt werden soll, nicht um eine Vorratsdatenspeicherung, sondern lediglich darum, IP-Adressen und Portnummern für einen Zeitraum von drei Monaten zu speichern. Das sei in dieser reduzierten Form rechtskonform. Große Netzbetreiber und Verbände kamen in ihren Stellungnahmen zu anderen Einschätzungen. 

In besonders schweren Fällen sollen Landgerichte darüber hinaus auch zeitweilige Account-Sperren verhängen können. So solle verhindert werden, das reichweitenstarke Accounts wiederholt schwere Persönlichkeitsrechtsverletzungen begehen können.

Kritik an hohen Kosten und massenhafter Datenspeicherung

Die Organisation HateAid, die Betroffene von digitaler Gewalt berät, begrüßt die geplanten Reformen im Zivilrecht und auch, dass Plattformen und Zugangsanbieter nun IP-Adressen herausgeben sollen. Zugleich weist die Organisation darauf hin, dass die Auskunftsverfahren für die Betroffenen mit hohen Kosten verbunden seien. Sie müssten nicht nur ihre eigenen Kosten, sondern auch die Gerichtskosten und die Rechtsvertretung der Plattformen selbst zahlen.

Der Entwurf sieht hierfür eine Ausnahmeregelung vor, von der Gerichte nach Erfahrung der Organisation jedoch in der Regel keinen Gebrauch machten. HateAid hatte gefordert, Gerichtskosten pauschal zu regeln.

Sieben Köpfe gegen digitale Gewalt

Benjamin Lück, Rechtsanwalt bei der Gesellschaft für Freiheitsrechte, kommt zu einem kritischeren Urteil. Gut sei, dass das Ministerium mit Account-Sperren einen wirkungsvollen Mechanismus für Betroffene vorsehe.

Die in der Begründung des Entwurfs versteckte Verknüpfung der Auskunftsansprüche mit der geplanten IP-Vorratsdatenspeicherung lehnen wir dagegen ab. Solche anlasslosen, massenhaften Datenspeicherungen halten wir grundsätzlich für das falsche Mittel.

Im Vorfeld hatten sich bereits mehrere Fachleute für digitale Gewalt gegen Überwachungsmaßnahmen zum Schutz vor digitaler Gewalt ausgesprochen, darunter auch die Vorratsdatenspeicherung.

Bereits unter der Ampel angekündigt

Mit der Vorstellung des Entwurfs liefert Hubig nun etwas, das bereits ihr Vorgänger Marco Buschmann (FDP) zur Zeit der Ampel-Regierung vor fünf Jahren angekündigt hatte. Seine Pläne zum Schutz vor digitaler Gewalt umfassten allerdings nur das Zivilrecht und versandeten zum Ende der letzten Legislaturperiode.

Hubig betont nun, sie habe ein “Gesamtkonzept” vorlegen wollen, das sowohl das Zivilrecht als auch die Verschärfungen im Strafrecht umfasst.

Der Entwurf wird nun an Verbände und Bundesländer geschickt, die Gelegenheit zur Stellungnahme bekommen. Er muss noch im Kabinett abgestimmt werden und erreicht danach erst den Bundestag und Bundesrat.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Das Bundesgesundheitsministerium will die Digitalisierung im Gesundheitswesen rasch voranbringen. Ein Gesetzentwurf definiert dafür die Rolle der elektronischen Patientenakte um, weitet die Nutzung von Gesundheitsdaten erheblich aus und gibt der Gematik neue weitreichende Befugnisse. Wir veröffentlichen den Gesetzentwurf.

Bundesgesundheitsministerin Nina Warken (CDU) hat einen ersten Entwurf für das „Gesetz für Daten und digitale Innovation im Gesundheitswesen“ (GeDIG) vorgelegt. Das rund 200-seitige Dokument soll die Weichen für eine digital gestützte Gesundheitsversorgung stellen und wird derzeit zwischen den Bundesministerien abgestimmt. Wir veröffentlichen den Entwurf (PDF).

Das Fundament für das Gesetz hatte Warken bereits Mitte Februar mit ihrer Digitalisierungsstrategie gebaut. Darin formuliert die Ministerin das Ziel, die elektronische Patientenakte (ePA) nicht nur zum „zentralen Dreh- und Angelpunkt“ der ärztlichen Versorgung zu machen, sondern auch zur „Gesundheits(daten)plattform“ auszubauen.

Dementsprechend soll das GeDIG unter anderem die Grundlagen für ein „digitales Primärversorgungssystem“ schaffen, indem es die Rolle der ePA erheblich erweitert. Außerdem will das Ministerium mehr Gesundheitsdaten für die Forschung bereitstellen und die Befugnisse der Gematik umfassend ausbauen.

Die elektronische Patientenakte als erste Anlaufstelle

Die ePA-App soll den Versicherten künftig einen „digitalen Versorgungseinstieg“ ermöglichen. Sie wäre dann nicht mehr nur ein digitaler Dokumentenspeicher, sondern die erste digitale Anlaufstelle für die gesundheitliche Grundversorgung.

Mit Hilfe der App sollen Versicherte künftig zunächst eine Ersteinschätzung einholen. Diese Einschätzung soll spätestens ab dem 1. Februar 2028 nach einheitlichen Standards durch die Terminservicestellen der Kassenärztlichen Vereinigungen erfolgen. Versicherte sollen dann über die ePA-App direkt an deren standardisierte Ersteinschätzungsverfahren weitergeleitet werden. Wird dabei ein Behandlungsbedarf festgestellt, können die Versicherten über die App digital einen Termin für eine ärztliche Behandlung buchen. Damit der Prozess möglichst reibungsfrei abläuft, müssen Arztpraxen ab dem 1. September 2029 die elektronische Überweisung anbieten.

Bei der Terminvergabe sollen ebenfalls einheitliche Standards gelten. Buchungsplattformen wie Doctolib müssen sich laut Gesetzentwurf auf strengere Vorgaben einstellen, die die Kassenärztliche Bundesvereinigung (KBV) und der GKV-Spitzenverband festlegen. Sie sollen unter anderem sicherstellen, dass Dritte den Terminbuchungsprozess nicht kommerziell nutzen.

Krankenkassen sollen Gesundheitsdaten auswerten dürfen

Das GeDIG zielt außerdem darauf ab, dass im Gesundheitswesen mehr Daten für „Versorgung, Forschung und Innovation“ bereitstehen.

Dafür sollen die Krankenkassen deutlich mehr Befugnisse erhalten, um bei ihren Versicherten individuelle Gesundheitsrisiken auszumachen. Mit Zustimmung der Versicherten sollen sie auf Daten zugreifen dürfen, die in der ePA hinterlegt sind. Zudem sollen sie selbst Gesundheitsdaten erheben können, die unter anderem „Ernährungsgewohnheiten“, den „Raucherstatus“ oder das Körpergewicht der Versicherten erfassen. Mit den gewonnenen Informationen dürfen die Versicherungen dann auf „gesunde Lebensverhältnisse“ laut Gesetzentwurf bei ihren Versicherten hinwirken.

Darüber hinaus sollen die Kassen personenbezogene Sozialdaten, die ihnen vorliegen, anonymisieren und auswerten dürfen. Nach der Anonymisierung weisen die Daten keinen Personenbezug mehr auf. Aus Datenschutzsicht dürfen sie damit „zur Erfüllung gesetzlicher Aufgaben“ weiterverarbeitet und an Dritte übermittelt werden.

Auch mit nicht-anonymisierten Daten sollen die Kassen hantieren dürfen. Eine neue Experimentierklausel soll es ihnen ermöglichen, sogenannte Reallabore einzurichten. Hier können die Versicherungen zeitlich befristet die „innovative Nutzung von personenbezogenen Daten“ erproben, etwa um eine „bessere Einschätzung von Erkrankungsrisiken (z. B. Demenz, Herzerkrankungen)“ zu erhalten.

Damit kommt der Gesetzentwurf den Erwartungen der Krankenkassen weitgehend entgegen. Ende vergangenen Jahres hatte der GKV-Spitzenverband gefordert, die Präventionsangebote der Kassen „durch den Ausbau der datengestützten Früherkennung von Krankheiten“ ausbauen zu dürfen. Die Ärzteschaft hatte vor einem solchen Schritt gewarnt, weil sie die Aushöhlung des Patientengeheimnisses und der ärztlichen Schweigepflicht befürchtet. Offenkundig setzt sich das BMG über derlei Bedenken nun tendenziell hinweg.

So umfassend will Warken die Gesundheitsdaten aller Versicherten verknüpfen

Eine Forschungskennziffer gegen Datensilos und für Widerspruchsrechte

Damit auch die Forschung von den Gesundheitsdaten profitiert, sieht der Gesetzentwurf die Einführung einer „eindeutigen Forschungskennziffer“ vor. Diese pseudonyme Kennziffer wird aus dem unveränderlichen Teil der Krankenversichertennummer (KVNR) abgeleitet und soll „die Verknüpfung von Daten verschiedener Datensilos“ ermöglichen.

Damit will das BMG zugleich die Umsetzung der EU-Verordnung über den Europäischen Gesundheitsdatenraum) (EHDS) vorbereiten. Die Verordnung trat im März 2025 in Kraft und findet in den kommenden Jahren sukzessive Anwendung. Der EHDS wird der erste sektorenspezifische Datenraum in der EU sein und soll als Blaupause für weitere sogenannte Datenräume dienen. Künftig sollen hier die Gesundheitsdaten von rund 450 Millionen EU-Bürger:innen zusammenlaufen und grenzüberschreitend ausgetauscht werden.

Auch Forschende und Behörden sollen diese Daten unter bestimmten Voraussetzungen nutzen dürfen. Möchten Versicherte das nicht, können sie von ihrem Widerspruchsrecht (Opt-out) Gebrauch machen. Die Forschungskennziffer soll laut BMG als technischer Schlüssel dienen, um die entsprechenden Datensätze gezielt herauszufiltern.

„Trotz der Funktion als ‚unique identifier‘ ist es gerade nicht das Ziel der Forschungskennziffer, einer Identifizierung von Einzelpersonen zu ermöglichen“, betont das BMG in dem Gesetzentwurf. „Im Gegenteil dient die Forschungskennziffer gerade dazu, bei der Zurverfügungstellung von Daten solche Merkmale zu ersetzen, über die Betroffene leichter re-identifiziert werden können.“

Fachleute weisen jedoch darauf hin, dass eine derartige Pseudonymisierung insbesondere bei Gesundheitsdaten keinen ausreichenden Schutz vor Re-Identifikation biete. Das Risiko steige zudem an, wenn ein Datensatz mit weiteren Datensätzen zusammengeführt wird, die weitere personenbezogene Daten der gleichen Person enthalten.

Gematik erhält deutlich mehr Befugnisse

Um das „hohe Tempo bei der Digitalisierung im Gesundheitswesen und der Pflege […] aufrecht zu erhalten“ ist laut BMG auch „die Fortentwicklung der Gesellschaft für Telematik (gematik) erforderlich“. Die Gematik ist in Deutschland für die technischen Vorgaben bei der Digitalisierung des Gesundheitswesens verantwortlich. Betrieben wird die Firma gemeinschaftlich von Ministerien wie dem BMG sowie privaten Organisationen aus dem Gesundheitsbereich, darunter Krankenkassen-Verbände oder die Bundesärztekammer. Der Gesetzentwurf sieht vor, dass die Gematik neue Befugnisse erhält.

Das Ministerium verfolgt damit insbesondere das Ziel, die Betriebsstabilität der Telematikinfrastruktur (TI) zu verbessern. Die TI ist das digitale Netzwerk des deutschen Gesundheitswesens, über das Arztpraxen, Kliniken, Apotheken und Krankenkassen Informationen austauschen. Sie erwies sich in den vergangenen Jahren allerdings als überaus instabil. Unter anderem KBV-Vorstandsmitglied Sibylle Steiner hatte zu Jahresbeginn gefordert, dass die Technik „geräuschlos und reibungslos im Hintergrund laufen“ müsse. „Das muss 2026 das Ziel sein“, so Steiner.

Um das zu erreichen, will das BMG die Gematik von einer Zulassungsbehörde zu einer aktiv steuernden Digitalagentur mit Durchsetzungsbefugnissen ausbauen. Das wäre ein erheblicher Machtzuwachs für die vielfach kritisierte Gematik, ohne dass das Gesetz eine entsprechende unabhängige Kontrolle vorsieht – zumal das BMG nicht nur Auftraggeber, sondern auch Gesellschafter der gematik ist.

Laut Gesetzentwurf soll die Gematik kritische Kernkomponenten der Telematikinfrastruktur künftig selbst beschaffen und bereitstellen. Bislang verkaufen Anbieter ihre Komponenten eigenständig an Arztpraxen und Kliniken, nachdem die Digitalagentur diese zugelassen hat. Nach Einschätzung des Ministeriums hat das jedoch zu hoher Komplexität, schlechter Betriebsstabilität und mangelnder Servicequalität geführt. Um Störungen und Sicherheitsprobleme zu beseitigen, soll die Digitalagentur außerdem zusätzliche Durchgriffsrechte erhalten.

Auf diesem Wege will das Gesundheitsministerium auch mehr Interoperabilität im Gesundheitswesen erreichen. Verschiedene IT-Systeme, Programme und Plattformen sollen nahtlos zusammenarbeiten und untereinander Daten austauschen können, auch wenn sie von unterschiedlichen Herstellern stammen.

Als konkreter Anwendungsfall soll hier die digitale Impfdokumentation als Vorstufe des digitalisierten Impfprozesses eingeführt werden. Der sogenannte digitale Impfpass soll als eine „nutzenstiftende Mehrwert-Anwendung“ auch dazu beitragen, dass mehr Versicherte die ePA aktiv nutzen. Bislang tut das nämlich nur ein sehr kleiner Teil der Versicherten.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Noch nie gab es so viele Ermittlungsverfahren und Hausdurchsuchungen wegen bloßer Worte. Heute gelten etliche politische Aussagen als strafbar, die noch vor zehn Jahren ganz klar erlaubt waren. Dabei sollten wir gerade in der gegenwärtigen Lage mehr Meinungsfreiheit wagen.

Ronen Steinke ist Leitender Redakteur im Politikressort der Süddeutschen Zeitung und Lehrbeauftragter an der juristischen Fakultät der Goethe-Universität Frankfurt am Main. Heute erscheint sein neues Buch Meinungsfreiheit: Wie Polizei und Justiz unser Grundrecht einschränken – und wie wir es verteidigen im Berlin Verlag. Wir veröffentlichen das Vorwort mit freundlicher Genehmigung von Autor und Verlag. Alle Rechte vorbehalten.

Das zentrale Prinzip, auf dem jede Demokratie beruht, die Meinungsfreiheit, entzweit die Demokratien gerade gewaltig. Die USA auf der einen Seite, Europa auf der anderen.

Im Februar 2025 trat auf der Münchner Sicherheitskonferenz der amerikanische Vizepräsident J. D. Vance in einem Luxushotel auf die Bühne in einem Saal voller europäischer Regierungsvertreterinnen und Regierungsvertreter – und schaltete gleich auf Angriff. Europa würge die Meinungsfreiheit ab, behauptete der Amerikaner, dunkler Anzug, blaue Krawatte, ernster Ton. Die größte Bedrohung für Europa heute komme gar nicht mehr aus Russland oder China, sondern „von innen“. Infolge eines, wie Vance es ausdrückte, „Rückzugs Europas von einigen seiner grundlegenden Werte“. Dann belehrte der US-Vizepräsident seine Zuhörer – und besonders seine deutschen Gastgeber – darüber, dass die „Demokratie auf dem heiligen Prinzip ruht, dass die Stimme der Menschen ein Gewicht hat“.

Mit Blick auf die zahlreichen, immer schärfer werdenden europäischen Gesetze gegen sogenannte Hassrede, also solche Dinge wie die staatlichen „Zensurwünsche“ an die Adresse sozialer Medien wie Facebook oder X, die staatlich verordneten Online-Blocker und -Filter, wie sie vor allem Deutschland in den zurückliegenden zehn Jahren stark forciert hat, formulierte der Gast aus den USA: „Firewalls haben da keinen Platz.“ Das Prinzip der Meinungsfreiheit verlange nämlich eine spezielle Fähigkeit von Regierenden: die Fähigkeit, Kritik zu erdulden. „Entweder man hält dieses Prinzip hoch, oder man hält es nicht hoch.“

Entsetzen und Belustigung

Stille herrschte im Saal, europäische Teilnehmer waren für einen Moment sprachlos, und einige erzählten hinterher, wie sie innerlich geschwankt hätten zwischen Gefühlen des Entsetzens, aber auch der Belustigung. Denn, natürlich: Von Leuten wie J. D. Vance, die in ihrer Heimat kritische Journalisten diffamieren, Universitäten unter Druck setzen und Late-Night-Show-Hosts wegmobben, lässt man sich nicht so gern über demokratische Tugenden belehren. Für deutsche Politiker war es ein Leichtes, darauf hinzuweisen, dass der Amerikaner nicht wirklich gut positioniert sei, um über den Respekt vor abweichenden Meinungen zu dozieren.

Immerhin, gerade hatte die Regierung des US-Präsidenten Donald Trump und seines Vizes Vance die Nachrichtenagentur Associated Press achtkantig aus dem Weißen Haus geworfen, weil die Journalisten sich die Freiheit genommen hatten, den Golf von Mexiko weiterhin als „Golf von Mexiko“ zu bezeichnen, während die Trump-Regierung lieber kindisch von einem „Golf von Amerika“ sprechen wollte. Gleichzeitig hatte in den USA der Kampf gegen unliebsame Stimmen, auch mit drastischen Mitteln wie der Durchsuchung von Handys und sozialen Netzwerken nach kritischen Äußerungen gegen Amerikas Verbündeten Israel, gerade erst begonnen.

Sprachtabus in Deutschland

Aber, schrecklicher Gedanke: Was, wenn der Gast aus Amerika dennoch einen Punkt hatte? Der US-Vizepräsident ist schließlich nicht der Erste, der in Bezug auf Europa etwas bemerkt hat, auch Linksliberale in den USA blicken gegenwärtig mit zunehmend mulmigen Gefühlen auf das, was sich in Europa und besonders in Deutschland vollzieht. Von außen sieht man Dinge vielleicht manchmal klarer als von innen: Schon immer war die Bundesrepublik innerhalb der westlichen Welt das Land mit den meisten Sprachtabus, den schärfsten Strafvorschriften gegen bloße Worte, freedom of speech wird hier traditionell kleiner geschrieben als in den USA. Und: In dem Jahrzehnt zwischen 2015 und 2025, in dem die demokratische Kultur sich beiderseits des Atlantiks als äußerst volatil erwiesen hat und die Demokratie in einen Stresstest geraten ist, hat Deutschland sich entschieden, noch einmal deutlich mehr vom selben zu versuchen.

Das heißt, Deutschland hat darauf gesetzt, noch einmal zusätzliche Gesetze zu schaffen sowie auch alte, schon bestehende Gesetze zu verschärfen, um politische Äußerungen stärker zu regulieren und einzuschränken. Der Bundestag hat Strafparagrafen erweitert und vermehrt, der Tatbestand der Volksverhetzung ist gleich in mehrfacher Hinsicht ausgebaut worden, der Tatbestand der öffentlichen Billigung von Straftaten ist so ausgedehnt worden, dass man jetzt schon dafür bestraft werden kann, wenn man Taten „befürwortet“, die allein in der Fantasie spielen. Viele Staatsanwaltschaften haben die Bekämpfung von Hatespeech zu einer neuen Priorität erhoben, sie haben neue, schlagkräftige Teams gegründet, um zu ermitteln und juristische Spielräume auszuschöpfen.

Noch nie hat es hierzulande so viele Ermittlungen wegen bloßer Worte gegeben. Wegen reiner Äußerungsdelikte, wie Juristinnen und Juristen sagen. Die Zahlen der Ermittlungen haben sich in diesem Jahrzehnt – je nachdem, welchen Tatbestand man ansieht – teils verdreifacht, vervierfacht, verfünffacht, bei manchen, früher völlig unbekannten Delikten wie der öffentlichen Billigung von Straftaten sogar verhundertfacht, von jährlich knapp 20 auf 2000. Selbst wegen des Uraltdelikts der Blasphemie, „Beschimpfen von Bekenntnissen“, gab es im Jahr 2024 plötzlich 125 Ermittlungen – ein Rekord. Das liegt zum einen sicher daran, dass das Internet nichts vergisst und Äußerungen dort technisch leichter zu dokumentieren sind als im analogen Raum. Zum anderen aber auch daran, dass die Bereitschaft des Staates, auf Worte mit Verboten und Strafen zu reagieren, groß ist wie nie.

Vulnerable Gruppen schützen

Anfangs ist dies zweifellos aus besten Absichten geschehen. Als es losging mit der härteren Gangart, etwa 2015/16, lautete die Idee, dass man vor allem vulnerable Gruppen besser davor beschützen müsse, niedergebrüllt zu werden. Das ist richtig – ein wichtiger Gedanke. Als etwa die ZDF-Journalistin Dunja Hayali sich im Sommer 2025 zu einem tödlichen Attentat in den USA äußerte, dem Anschlag auf den Rechtsradikalen Charlie Kirk, da prasselten in den sozialen Medien so viele Kommentare auf sie ein, dass einen der Mut zum offenen Wort schon mal verlassen könnte. Hayali hatte unter anderem gesagt, es sei nicht zu rechtfertigen, dass manche Gruppen Kirks Tod feierten – „auch nicht mit seinen oftmals abscheulichen, rassistischen, sexistischen und menschenfeindlichen Aussagen“. Das genügte schon, um manche zu triggern.

„Sie werden bald für ihre Äußerungen bitter bezahlen“, schrieb @gordons_katzenabenteuer auf Instagram an die Journalistin, „Sie haben nur das allerschlimmste verdient. Schauen sie lieber ab jetzt öfter über ihre Schulter.“ Ein Nutzer namens @nocebo_the_mortem schrieb: „Ich hoffe, sie werden auch vor ihrer Familie erschossen“. @jaroabroad pflichtete bei: „Du bist ein Stück Scheiße sondergleichen und die Drohungen sind völlig gerechtfertigt!“ @juki030 schrieb: „Wir werden dich noch hängen sehen!“ @team.114hrc schrieb: „Heul leise du Dre…… Wirst bald die nächste sein“. @volkersuthoff schrieb: „Hoffentlich erschießt dich einer, du miese dreckslesbe!“

Wenn Täter mit solchen Gewaltdrohungen durchkämen, dann bliebe von der Meinungsfreiheit der Bedrohten nicht viel übrig. Zumal solche Attacken oft strategisch sind. Eine Studie der britischen Zeitung The Guardian ergab, dass von den zehn am häufigsten in Online-Kommentaren beleidigten Autorinnen und Autoren der Zeitung acht Frauen waren, vier von ihnen nicht weiß. Die anderen beiden waren schwarze Männer. In Deutschland sind Menschen mit Migrationshintergrund mehr als doppelt so oft von Online-Beschimpfungen betroffen wie andere. Das sind Menschen, die noch nicht sehr lange eine Stimme im politischen Diskurs haben und die aus Sicht der Pöbler wieder „auf ihre Plätze“ verwiesen werden sollen. Dahinter steckt der Wunsch, diese Gruppen gezielt aus dem Diskurs herauszutreiben.

Über Ziel hinausgeschossen

Das ist reaktionär, es ist antidemokratisch. Dagegen braucht es eine Verteidigung. Auch durch den Staat. Aber: Inzwischen ist der deutsche Strafverfolgungsapparat weit über dieses Ziel hinausgeschossen. Zunehmend geht es nicht erst bei Drohungen los, sondern schon bei viel harmloserem Spott. Wird ein Mensch in Deutschland „dämlich“ oder „Schwachkopf“ genannt, dann ist normalerweise klar, dass das keine Staatsanwaltschaft in Bewegung versetzt. Widerfährt das einem Politiker oder einer Politikerin, dann bilden sich gerade neue Maßstäbe heraus. Ein Bürger in Bayern bekam einen Strafbefehl, weil er die Grünen-Politikerin Annalena Baerbock als die „dümmste Außenpolitikerin der Welt“ bezeichnet hatte. Ein Fall für den neuen Strafparagrafen der „Politikerbeleidigung“.

Seit 2021 werden Beleidigung, üble Nachrede und Verleumdung gegen „Personen des politischen Lebens“ in einem einzigen Paragrafen zusammengefasst. Die Zahl der Ermittlungsverfahren, die der Staat auf dieser Grundlage eingeleitet hat, hat sich seither jährlich verdoppelt. 2021 waren es 748, im Jahr darauf schon 1.404. Im Jahr darauf dann 2.598. Und dann, zuletzt, 4.439 Fälle Fälle. Wohlgemerkt: Um Bedrohungen – oder andere Formen von Gewalt – geht es hier nicht.

Wie weit ist zu weit?

Der neue Wind weht scharf: Bis vor zehn Jahren war es noch undenkbar, dass die Polizei im Morgengrauen zu Razzien in Privatwohnungen anrückt, allein weil jemand das juristische Delikt der Beleidigung begangen haben soll, das in der Regel nur zu sehr geringen Strafen führt. Man hätte es für unverhältnismäßig gehalten. Eine Durchsuchung ist ein schwerer Grundrechtseingriff. Heute geschieht dies dagegen laufend, bei „Aktionstagen“ wird gleich an Dutzenden oder gar Hunderten Türen von Tatverdächtigen parallel geklingelt.

Man liest darüber sogar in der New York Times, in Artikeln, deren Autoren allerdings verwundert klingen über die Entwicklung der Meinungsfreiheit auf dem alten Kontinent. „Wie weit kann man gehen, bevor es zu weit geht?“, schrieben zwei Europa-Korrespondenten der Zeitung in einer langen Reportage im September 2022 über die neue Strenge, mit der Deutschland weiter gehe als „jede westliche Demokratie“. How far is too far?

Razzia wegen „Pimmel“

Hausdurchsuchungen erleben nun zunehmend auch Menschen, die im Netz ihre Meinung zu Ereignissen der internationalen Politik äußern. In den aufwühlenden Debatten zum Nahostkonflikt zum Beispiel war dies der Fall. Als ein Mann in München bei Instagram schrieb, dass das Massaker der palästinensischen Terrormiliz Hamas gegen israelische Zivilistinnen und Zivilisten am 7. Oktober 2023 natürlich entsetzlich sei, andererseits aber ein besetztes Volk das „legitime Recht auf Widerstand mit allen notwendigen Mitteln“ habe, genehmigte das Amtsgericht die Beschlagnahme seines Handys und anderer „internetfähiger Endgeräte“. Das kam unerwartet. Dass Menschen in Diskussionen solche kruden Aussagen einwerfen, die förmlich danach rufen, dass andere Menschen ihnen in der Diskussion widersprechen und mit Kontext oder Differenzierung antworten, ist nicht neu. Dass dies solche strafrechtlichen Interventionen nach sich zieht, ist durchaus neu.

In den Debatten zur innerdeutschen Politik ist dies ebenso zu beobachten. So hat etwa ein altgedienter Lokalpolitiker der Grünen in München erlebt, dass ihm verboten wurde, dem bayerischen Vizeministerpräsidenten Hubert Aiwanger von den Freien Wählern vorzuwerfen, dessen „Hetze“ gegen die Grünen ähnele in ihrer Sündenbock-Struktur der einstigen antisemitischen Agitation der Nazis. Der Grünen-Lokalpolitiker bekam dafür seinerseits ein Strafverfahren wegen Volksverhetzung, worüber er sehr staunte, und 2024 sogar schon Schuldsprüche in nicht nur einer, sondern zwei Gerichtsinstanzen; seine politische Karriere ist erledigt. Anderen zur Warnung.

Als Hamburgs Innensenator während der Corona-Pandemie eine strenge Ermahnung an seine Bürgerinnen und Bürger aussprach, keine Partys zu feiern, dann aber dabei erwischt wurde, wie er selbst eine – illegale – Party mit Dutzenden Gästen zelebrierte, kommentierte der Betreiber einer Punkkneipe aus dem Stadtteil St. Pauli im sozialen Netzwerk X, das damals noch Twitter hieß, diese Heuchelei lakonisch: „Du bist so 1 Pimmel.“ Kurz darauf tauchten vier uniformierte, bewaffnete Beamte vor der Wohnungstür des Gastronomen auf. Sie durchsuchten Räume, beschlagnahmten Geräte. Ein weiteres Verfahren wegen Politikerbeleidigung begann.

Gestern erlaubt, heute verboten

Damit hatte der Hamburger Gastronom nicht gerechnet. Damit hätte aber auch ich, ein ausgebildeter Jurist, der an der juristischen Fakultät der Universität Frankfurt unterrichtet, nicht gerechnet. Selbst wenn man sich sehr anstrengt, im Bilde zu sein, die teils sehr weite neue Interpretation des Strafrechts und von solchen sehr offenen Begriffen wie „Beleidigung“ im Blick zu behalten und politisch informiert zu bleiben, kann man bei diesem Tempo der Entwicklung immer häufiger auch überrascht werden.

Und das ist, meine ich, ein Problem. Damit hat sich in diesem Land etwas verändert. Nicht nur die USA haben ein Problem mit der Meinungsfreiheit, sondern, auf unsere Weise, auch wir. Darum soll es in diesem Buch gehen. Der deutsche Staat definiert heute etliche Aussagen als strafbar, die noch vor zehn Jahren ganz klar unter die Meinungsfreiheit fielen. Die Schwelle, von der an Polizei und Justiz hierzulande von strafbarer „Hetze“ ausgehen, ist an etlichen Stellen rapide abgesenkt worden, teils durch Änderungen der Gesetze, teils durch eine Änderung der Gesetzesinterpretation. Gestern noch erlaubt, heute verboten: Das ist ein juristischer Großtrend, den ich darstellen, analysieren und auf den ich auch eine kritische Antwort zu formulieren versuchen möchte.

UN-Sonderberichterstatter entsetzt

Im Frühjahr 2025, als J. D. Vance in München war, war ich, umgekehrt, in den USA. Ich habe in Kalifornien an Universitäten geforscht, die gerade große Not hatten, sich gegen die autoritären Übergriffe der Trump-Regierung zur Wehr zu setzen. Ich habe mit Rechtswissenschaftlern zusammengesessen, die gerade dabei waren, sich für Proteste gegen diese Trump-Politik zu vernetzen. David Kaye zum Beispiel, der ehemalige UN-Sonderberichterstatter für das Menschenrecht auf Meinungsfreiheit, der mir sein Lieblingscafé in Santa Monica zeigte, vegan und hundefreundlich. Aber so groß ihr Entsetzen über die Trump-Pläne war, so wenig hat das gleichzeitig ihre Sorge über das gemindert, was sie von der anderen Seite des Atlantiks her mitbekamen. „Diese Razzien“, sagte David Kaye.

Als in Kalifornien der Sommer begann, brachte die Sendung 60 Minutes des US-Senders CBS eine Reportage aus – Niedersachsen. Eine amerikanische Reporterin interviewte zwei deutsche Staatsanwälte und eine Staatsanwältin, die auf die Verfolgung von Hatespeech spezialisiert waren. Die Strafverfolger erzählten von den inzwischen üblichen Hausdurchsuchungen wegen Online-Postings und den teils verdutzten Reaktionen der Betroffenen, die oft sagen würden: Sie hätten gar nicht gewusst, dass ihre Äußerungen verboten seien. So erzählte es einer der Staatsanwälte und grinste.

Voraussetzung jeder Freiheit

In Santa Monica sprach mich David Kaye darauf an. Er fand das befremdlich. Staatsanwälte, die sich nichts dabei zu denken schienen, dass sie Menschen überraschten mit der Information, dass etwas neuerdings verboten sei? Was sei das für ein Verständnis von Rechtsstaat? Und er wies mich noch auf einen weiteren Aspekt hin, der ihm Sorgen bereite. „Pimmel“ sei in den USA noch das Mildeste, was man an Spott über den Präsidenten lesen könne. Es geschehe praktisch jeden Tag, dass jemand ihn als „Schwachkopf“ bezeichne, als „dümmsten Präsidenten aller Zeiten“ sowieso. Das ist nach amerikanischem Recht straffrei, zum Glück. Nicht auszudenken, was Donald Trump anstellen könnte, wenn sich die USA mit ihrem Strafrecht ein Beispiel an Deutschland nähmen.

Die Meinungsfreiheit wird in Demokratien traditionell als das wichtigste aller politischen Grundrechte verstanden, weil sie sozusagen die Voraussetzung aller weiteren Freiheiten schafft. Sie ist die Basis, auf der man politisch überhaupt in einen Streit eintreten kann, Forderungen stellen, sich Gehör verschaffen und so weiter. Die Bundesrepublik war noch jung, es war 1952, da schrieben die Richter des Bundesverfassungsgerichts (in diesem Fall waren es sieben Männer und eine Frau) in einem ihrer ersten Urteile, dass die Meinungsfreiheit für eine Demokratie „schlechthin konstituierend“ sei. Sprachlich schöner, auch ein wenig pathetischer: Die Freiheit, seine Meinung zu sagen, sei „die notwendige Voraussetzung beinahe jeder anderen Form der Freiheit“, so lauten die berühmten Worte des einstigen amerikanischen Supreme-Court-Richters Benjamin Cardozo. Und, ja: Es darf auch polemisch sein. Überspitzt. Oder emotional. Jedenfalls bis hin zu einer Grenze.

Was würde Trump damit tun?

Ich frage mich inzwischen, ob wir uns in Deutschland nicht ganz schön schnell gewöhnt haben an die Alltäglichkeit von Hausdurchsuchungen wegen „Politikerbeleidigung“, an die grassierende Verunsicherung, ob man denn noch von einer „dümmsten Außenministerin der Welt“ sprechen darf, an die Tatsache, dass schwierige zivilgesellschaftliche Debatten eingeengt werden – und ich frage mich auch, ob eine offene Gesellschaft ihre Strafjustiz nicht an etlichen Stellen dringend zurückpfeifen müsste, braucht man doch gerade in volatilen Zeiten eher mehr Debatte, nicht weniger. In der amerikanischen Cartoon-Serie „South Park“ taucht derweil der amerikanische Präsident Donald Trump als Sexpartner des Teufels auf, und es werden Zoten gerissen über das kleine Gemächt des Commanders in Chief.

Wenn die USA unter Trump solche Gesetze hätten wie Deutschland, dann würde dies J. D. Vance und Co. noch ganz andere Möglichkeiten bieten, ihre Kritiker einzuschüchtern. Dieses Szenario, in dem ein rechtsautoritärer Regierungschef mit einem fragilen Ego à la Trump oder Vance seine Kritiker wegen krimineller „Beleidigung“ verfolgen lassen könnte: Liberale Amerikaner wie David Kaye sind heilfroh, dass dies gerade nicht ansteht und dass wahrscheinlich auch der amerikanische Supreme Court verhindern würde, dass solche Instrumente diesen Rechtspopulisten in die Hände fielen. In Deutschland, wo die Anklagebehörden in diesem Punkt immer mehr Macht und gesetzlichen Spielraum bekommen haben, ist dieses Szenario vielleicht nur eine Landtagswahl entfernt.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Trotz scharfer Kritik hält die sächsische Regierung am ihrem Vorhaben fest, die Polizei mit erheblich erweiterten Überwachungsbefugnissen auszustatten. Den bisherigen Gesetzesentwurf hat sie nach internen Verhandlungen nur kosmetisch angepasst. Kritiker:innen bezweifeln die Vereinbarkeit mit geltendem EU-Recht und warnen vor dystopischen Verhältnissen.

Die sächsische Polizei soll Bilder im Internet biometrisch auswerten dürfen – zumindest wenn es nach dem Willen der sächsischen Regierung geht. Und das ist lange nicht die einzige massive Befugniserweiterung der Polizei, die die Regierung plant. Auch Verhaltensscanner, verdeckte Kennzeichenerkennung und eine automatisierte Datenanalyse sollen kommen. Lediglich bei zwei problematischen Plänen machte das Innenministerium einen Rückzieher. Unter Zeitdruck muss nun der sächsische Landtag entscheiden.

Geringfügige Änderungen für eine „rechtsstaatlich sehr hohe Qualität“

Am Dienstag beschloss das Kabinett den Gesetzentwurf für das Sächsische Polizeivollzugsdienstgesetz (SächsPVDG). Dieser fällt in Teilen weniger scharf aus als die ursprünglich geplante Novelle. Wenn man den sächsischen Innenminister Armin Schuster (CDU) fragt, sogar ein gutes Stück zurückhaltender. Sein Referentenentwurf aus dem Herbst war auf viel Kritik gestoßen, auch die mitregierende SPD kritisierte einige der geplanten Befugniserweiterungen.

Im Vergleich dazu enthielten die neuen Pläne „sehr viele grundrechtssichernde Bestimmungen“, so Schuster. Er verweist auf Richtervorbehalte, Lösch- und Berichtspflichten. „Für Polizisten ist dieses Gesetz eine Herausforde­rung“, sagte der Innenminister auf einer Pressekonferenz am Dienstag nach der Kabinettssitzung. Der Entwurf habe nun eine „rechtsstaat­lich sehr hohe Qualität“, betonte er.

Tatsächlich gibt es bei den meisten Bestimmungen des Entwurfs, wenn überhaupt, geringfügige Änderun­gen und Konkretisierungen. So ist der präventive Staatstrojaner-Einsatz zur Quellen-Telekommuni­kationsüberwachung nach wie vor enthalten, ebenso Verhaltensscanner, die gesetzlichen Grund­lagen für eine Datenanalyse-Plattform sowie der biometrische Abgleich von Gesichtern und Stim­men mit dem Internet.

Kein Palantir, keine Drohnen gegen Handy-Sünder:innen

Gestrichen wurde vor allem das Filmen in Autos, um Handy-Nutzer:innen am Steuer zu erwi­schen. Diese Vorschrift sollte laut dem ursprünglichen Entwurf sogar mit Drohnen umgesetzt wer­den.

Die sächsische Datenschutzbeauftragte Juliane Hundert hielt das für „offensichtlich verfas­sungswidrig“ und sprach von einer „auf der Hand liegenden Unverhältnismäßigkeit“. Ihrer Empfeh­lung nach einer ersatzlosen Streichung folgte die sächsische Regierung offenbar.

Außerdem setzte die SPD durch, dass Palantir keinen sächsischen Auftrag für eine polizeiliche Da­tenanalyse-Plattform bekommt. Der Verzicht wird vom sächsischen Innenminister bedauert: „Der Vorsprung der Firma Palantir ist mit Händen greifbar“, sagte Schuster. Man führe Gespräche mit anderen Anbietern. Laut Kostenplanung im Entwurf rechnet die Staatsregierung mit einer zentralen Bereitstellung durch den Bund, an der man sich dann finanziell beteiligt.

Das 3-Stufen-Modell der polizeilichen Datenanalyse

Weiterhin enthalten ist die Vorschrift, die ermöglichen soll, dass die Polizei eine Plattform zur automatisierten Datenanalyse nutzt. Inzwischen findet sich im Entwurf dafür ein 3-Stufen-Modell.

Auf der ersten Stufe steht ein einfacher Datenabgleich, bei dem jede:r Polizist:in personenbezogene Daten in den Beständen der Polizei Sachsen suchen kann. Ausgenommen sind Biometrie-Daten, personenbezogene Da­ten von Unbeteiligten aus der Vorgangsbearbeitung sowie Daten aus der Wohnraumüberwachung.

Auf der nächsten Stufe folgt die Befugnis, Daten zur Gewinnung neuer Erkenntnisse automatisiert zusammenzuführen und auszuwerten. Voraussetzung ist ein drohender erheblicher Angriff auf den Staat oder Leib, Leben oder Freiheit einer Person. Für drohende terroristische Straftaten liegt die Gefahrenschwelle niedriger. Anordnen dürfen diese Art der Datenanalyse nur hochrangige Polizist:innen, wie etwa die Präsidentin einer Polizeidi­rektion.

Polizeidaten fürs KI-Training – auch ohne Pseudonymisierung

Nur bei der dritten und letzten Stufe muss die Polizei eine richterliche Erlaubnis einholen. Diese Stufe umfasst den Einsatz von „selbstler­nender KI“ sowie die Bildung von Verhaltensprofilen.

Nach wie vor plant die Staatsregierung, der Polizei auch das Training und Testen von eigenen KI-Anwen­dungen mit echten Polizeidaten zu erlauben. Erlaubt ist außerdem die Weiter­gabe personenbezogener Daten an Drittanbieter, die mit der Polizei zusammenarbeiten.

Vorausset­zung dafür ist, dass die Anonymisierung und Pseudonymisierung sowie die Verarbeitung bei der Polizei „nur mit unverhältnismäßigen Aufwand möglich“ ist. Auch diese Vorschrift wurde, trotz Kritik von der SPD-Fraktion und der Opposition, im Vergleich zum letzten Entwurf aus dem Herbst kaum angepasst.

Gesichtersuche im Netz – im Einklang mit der KI-Verordnung?

Auch der „Klette-Paragraf“, wie ihn Armin Schuster nennt, hat im Gesetzesentwurf weiterhin Bestand. Die RAF-Terro­ristin Daniela Klette war bis zu ihrer Festnahme 2024 mehrere Jahrzehnte untergetaucht. Den­noch fanden zwei Journalisten im Dezember 2023 Hinweise auf Klettes Aufenthaltsort über die Ge­sichtersuchmaschine PimEyes. „Diese Blamage darf so nie wieder passieren“, betonte Schuster in der Pressekonferenz.

Dieser biometrische Abgleich von Gesichtern und Stimmen mit Internetdaten wurde trotz viel Kritik kaum angepasst. Die Polizei soll nun lediglich nach Opfern und potenziellen Täter:innen suchen dürfen.

Doch es gibt Zweifel, ob die von Innenminister Armin Schuster als „Klette-Paragraf“ bezeichnete Vorschrift grundsätzlich mit der KI-Verordung der EU in Einklang zu bringen ist.

Laut einem Gutachten von AlgorithmWatch ist es technisch nicht umsetzbar, frei verfügbare Bilder aus dem Internet für einen Abgleich praktikabel durchsuchbar zu machen, ohne eine Datenbank die­ser Bilder zu erstellen. Das verbietet die KI-Verordnung.

Das sächsische Innenministerium rechtfertigt die Pläne auf Anfrage von netzpolitik.org damit, dass das Gutachten auf die Erstellung einer anlassunabhängigen Datenbank abziele, das vorgeschlagene Gesetz aber „auf den anlassbezogenen Auftragsbereich der Gefahrenabwehr“ fokussiere.

Das Innenministerium schreibt weiter:

Zu OSINT-Recherchen werden sowohl Sachbearbeiter als auch Tools eingesetzt, die sich der grundsätzlichen Datenbankstruktur des Internets bedienen und keine polizeieigene Datenbank für alle Informationen des Internets erstellen. Die Methodik hält sich an die von den Informationsan­bietern gesetzten Grenzen. OSINT-Recherchen sind für einen anlassbe­zogenen Lichtbildvergleich mit Bildern aus dem Internet rechtmäßig unter Wahrung der DSGVO sowie europäischen Datenschutzrichtlinien.

Tatsächlich aber ist es laut KI-Verordnung unerheblich, ob die Polizei selbst eine anlassunabhängige Datenbank mit allen Bildern erstellt oder eine von Drittanbietern nutzt. Konkret verbietet die Verordnung in Ar­tikel 5 (1e) „das Inverkehrbringen, die Inbetriebnahme […] oder die Verwendung von KI-Systemen, die Datenbanken zur Gesichtserkennung durch das ungezielte Auslesen von Gesichtsbildern aus dem Internet oder von Überwachungsaufnahmen erstellen oder erweitern“.

Videoüberwachung mit Mustererkennung

Auch Verhaltensscanner und Gesichtserkennung in der Videoüberwachung sind weiterhin vorge­sehen. Die Verhaltensscanner sollen Beamt:innen alarmieren, wenn die Software auf den Kamerabildern Bewegungsmuster erkennt, die auf Waffen, gefährliche Gegenstände oder die Begehung einer Straftat hindeuten. Die Beamt:innen sollen dann überprüfen, ob die Software zurecht angeschlagen hat. Sie können daraufhin auch eine auto­matisierte Nachverfolgung des vermeintlich gefährlichen Menschen durch die verschiedenen Kame­ras in die Wege leiten.

Diese Form der Überwachung soll prinzipiell nicht nur an allen Kriminalitätsschwerpunkten möglich sein, sondern etwa auch in Straßenbahnen und Bus­sen, wenn die Polizei annimmt, dass dort künftig Straftaten begangen werden.

Obwohl die SPD-Fraktion sich explizit gegen diese Vorschrift aussprach, ist auch die Möglichkeit eines Live-Gesichtsscans im Gesetzentwurf enthalten. Eingeschränkt wurde hier nur die Menge an Menschen, nach denen die Po­lizei suchen darf, nämlich nach Terrorverdächtigen sowie vermissten Menschen und Opfern von Entführungen und Menschenhandel.

Diese „Echtzeit-biometrische Fernidentifizierung“ muss von Richter:innen angeordnet werden, die auch Umfang und Dauer der Maßnahme absegnen müssen. Obwohl also prinzipiell alle gescannt werden, die durch das Kamerabild laufen, soll die Software nur nach einzelnen Menschen suchen.

Völlig unverändert: Staatstrojaner, Kennzeichenscan und Bodycams

Bei anderen Befugniserweiterungen hat sich nichts verändert.

Der Bodycam-Einsatz in Wohnungen soll weiterhin erlaubt werden. Auch der Einsatz von Staats­trojanern zur Gefahrenabwehr im Rahmen der Quellen-TKÜ soll möglich sein. Der Innenminister wollte zudem die verdeckte Online-Durchsuchung von Computern einführen, hat das aber nicht „durchgekriegt“, wie er bei der Presse­konferenz freimütig zugab. Auch die CDU-Fraktion macht Druck.

Nach wie vor ist das verdeckte automatisierte Scannen von Auto-Kennzeichen geplant. Diese Überwachungsmaßnahme soll in grenznahen Regionen erfolgen. Das Innenministerium begründet die Maßnahme explizit mit der Su­che nach Autodieben und gestohlenen Fahrzeugen. Der verdeckte Scan ist bis zu 30 Kilometer vor der Grenze zu Tschechien oder Polen erlaubt. Das entspricht etwa der Hälfte der Fläche Sach­sens.

Bei den Tasern gibt es einen Kompromiss. SPD- und BSW-Fraktion plädierten auf eine gestaffelte Einführung. Die Staatsregierung schafft nun zwar die Rechts­grundlage, um alle Polizist:innen damit auszustatten. Über die nächsten drei Jahre sollen allerdings nur 120 Stück angeschafft werden. Außerdem ist eine verpflichtende Evaluation im Jahr 2029 vorgesehen.

Minority Report und chinesische Verhältnisse

Auch wenn die Minderheitskoalition den Entwurf im Vergleich zur vorherigen Version in Details verändert hat, bleibt es bei einer massiven Erweiterung der Polizeibefugnisse. Der Dresdener Chaos Computer Club (C3D2) kriti­siert das: „Die Landesregierung will klassische Mittel der Strafverfolgung auf Landesebene einfüh­ren und verschiebt damit die rechtliche Grenze der behördlichen Befugnisse: Gefahrenabwehr ist Sache des Landes, Strafverfolgung des Bundes.“ Als Beispiel nennen sie die Staatstrojaner, deren Einsatz bundesweit durch die Strafprozessordnung geregelt ist.

Der Verein erinnert in seiner Mitteilung an dystopische Welten wie „Minority Report“, in denen Predictive-Policing die Unschuldsvermutung ersetzt. „Sicherheitsbehörden bauen derzeit solche Systeme aus, ungeachtet der juristischen Grenzen und gesellschaftlichen Folgen für die Demokratie und individuelle Freiheiten.“

Der C3D2 warnt insbesondere vor der Einführung ei­ner Plattform zur automatischen Datenanalyse. Diese sei „moderne Rasterfahndung mit Vorhersage­funktion“, so die Sprecherin weiter. „Ob es Palantir wird oder eine andere vergleichbare Lösung, ist letztendlich egal. Solche Systeme funktionieren in der Regel nur, wenn sie an möglichst viele Sensoren und Datenbanken an­geschlossen sind“, heißt es in der Mitteilung. Die Einführung einer solchen Software öffne die Büchse der Pandora.

„Der Chaos Computer Club sieht die Novelle des Sächsischen Polizeigesetzes als einen erneuten Angriff auf die informationelle Selbstbestimmung, die rechtsstaatlich gebotene Gewaltenteilung sowie als Gefahr für eine offene und demokratische Gesellschaft.“

Aus dem Landtag kommt die schärfste Reaktion von der Fraktion Bündnis 90/Die Grünen: „Der massive Einsatz von KI zu Überwachungszwecken, die intelligente Videoüberwachung und die Möglichkeit des Daten­abgriffs aus dem Internet sind keine Lappalien, sondern schwerwiegende Eingriffe in die Bürger­rechte aller Menschen in Sachsen“, sagte der innenpolitische Sprecher der Grünen-Fraktion, Va­lentin Lippmann. Er wiederholte seine Kritik aus dem Herbst, wonach sich der Entwurf eher an chinesischen Überwachungsfantasien orientiere als an dem Grundgesetz.

Grüne und Linke scheiden als Mehrheitsbeschaffer aus

Die Linksfraktion äußerte sich in einer ersten Mitteilung zurückhaltender und verwies darauf, den aktuellen Entwurf noch nicht zu kennen. In der Vergangenheit hatte auch sie die geplanten Befugnisse für die automatisierte Datenanalyse, verdeckte Kennzeichenerkennung und biometrische Suche im Internet zurückgewiesen.

Aufgrund der Mehrheitsverhältnisse im Landtag und die klare Ablehnung der Grünen ist die Positi­on der Linken für die Staatsregierung aber nicht entscheidend. Der schwarz-roten Minder­heitskoalition fehlen zehn Stimmen. AfD (40) und Bündnis Sahra Wagenknecht (15) können den Entwurf durch ihre alleinige Zustimmung über die Ziellinie bringen, Grüne (7) und Linke (6) müssten hingegen gemeinsam mit der Minderheitskoalition votieren.

AfD nicht konstruktiv, BSW sieht noch Änderungsbedarf

Eine Zusammenarbeit mit der AfD haben CDU und SPD in ihrem Koalitionsvertrag ausgeschlossen. Die AfD hat keine Stellungnahme im Konsultationsprozess abgegeben. Als einzig verbleibende Option bleibt der Koalition damit das BSW.

Dessen innenpolitischer Sprecher Bernd Rudolph kündigte Anpassungen im parlamentarischen Ver­fahren an. Besonders bei den Themen automatisierte Datenanalyse, Training von KI-Systemen mit Polizeidaten und Tasern sieht die BSW-Fraktion noch Änderungsbedarf. „Der vorliegende Gesetz-Entwurf enthält sinnvolle Modernisierungen, aber auch gefährliche Überdehnungen.“ Man wolle ein Polizeigesetz, das wirksam schützt, aber nicht überwacht.

Die Uhr tickt

Viel Zeit für Änderungen im Parlament bleibt indes nicht mehr. Wegen eines Urteils des Verfassungsge­richtshofs laufen einige Polizeibefugnisse aus dem aktuellen sächsischen Polizeigesetz bald aus. Grüne und Linke hatten gegen das Gesetz geklagt, der sächsische Verfassungsgerichtshof gab ihnen in Teilen recht und setzte für manche Polizeibefugnisse eine Frist: Bis zum 30. Juni braucht es eine neue Regelung, sonst laufen sie aus.

Den Fraktionen verbleiben damit noch gut vier Monate für den ge­samten parlamentarischen Prozess.

Grüne und Linke kritisie­ren die Regierung für den engen Zeitplan. Selbst Innenminister Schuster räumt ein, dass der Land­tag „jetzt nicht komfortabel“, aber ausreichend Zeit habe. Man habe das durchgerechnet, versicherte Schuster.

Geplant ist, das Gesetz am 24. Juni im Plenum zu beschließen. Damit das alles zeitlich klappt, wurde eine Sondersitzung des Innenausschusses angesetzt. Bereits am 27. März steht die Sachver­ständigenanhörung im Landtag an.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Beim Forschungsdatenzentrum Gesundheit sollen die Gesundheitsdaten aller gesetzlich Versicherten zusammenlaufen. Ein Gerichtsverfahren dagegen wird nun fortgesetzt. Dessen Ausgang könnte Pläne von Gesundheitsministerin Nina Warken durchkreuzen.

Drei Jahre lang herrschte Stillstand. Nun geht ein Gerichtsverfahren weiter, das sich gegen die zentrale Speicherung von Gesundheitsdaten aller gesetzlich Versicherten im Forschungsdatenzentrum Gesundheit (FDZ) richtet.

Die Klage hatte die Gesellschaft für Freiheitsrechte (GFF) gemeinsam mit Constanze Kurz, netzpolitik.org-Redakteurin und Sprecherin des Chaos Computer Club (CCC), sowie einem weiteren anonymen Kläger im Mai 2022 eingereicht. Weil das FDZ aber jahrelang nicht arbeitsfähig war und kein IT-Sicherheitskonzept vorlegen konnte, ruhte das Verfahren seit Februar 2023. Im vergangenem Herbst wurde das FDZ offiziell eröffnet, weshalb die GFF das Verfahren nun nach eigenen Angaben fortsetzt und weitere Schriftsätze eingereicht hat.

Der Ausgang der Klage könnte weitreichende Folgen haben. Denn es geht um die Forschung mit Gesundheitsdaten, eine zentrale Säule der erst vor wenigen Wochen vorgestellten Digitalisierungsstrategie von Bundesgesundheitsministerin Nina Warken (CDU). Sollte das Gericht zugunsten der Klagenden entscheiden, könnten wichtige Vorhaben ihres Ministeriums ins Wanken geraten.

Kläger:innen fordern effektiven Widerspruch und besseren Schutz

Die Klagenden werden von dem Rechtswissenschaftler Matthias Bäcker vor dem Sozialgericht Berlin und dem Sozialgericht Frankfurt vertreten. Aus ihrer Sicht verstößt die zentrale Sammlung hochsensibler Gesundheitsinformationen beim FDZ zum einen gegen das Grundrecht der Versicherten, selbst über die eigenen Daten zu bestimmen, sowie gegen das Datenschutzrecht der Europäischen Union.

Zum anderen seien die gespeicherten Daten nicht ausreichend geschützt. Für deren Übermittlung werden nur Namen, Geburtstag und -monat der Versicherten entfernt. Ein von der GFF in Auftrag gegebenes Gutachten des Kryptographie-Professors Dominique Schröder kommt zu dem Schluss, dass eine solche Pseudonymisierung die Versicherten nicht ausreichend schützt. Durch den Abgleich mit anderen Datensätzen ließen sich Betroffene ohne großen Aufwand re-identifizieren.

Die GFF fordert daher für alle Versicherten ein „voraussetzungsloses Widerspruchsrecht“, dass ihre eigenen Gesundheitsdaten für Forschung und andere Zwecke weitergenutzt werden. „Gesundheitsdaten gehören zu den sensibelsten Informationen überhaupt und sind ein lukratives Ziel für Kriminelle“, sagt Jürgen Bering, Jurist bei der GFF. „Forschung darf daher nur unter ausreichenden Schutzmaßnahmen stattfinden.“

Auf dem Weg zu „einem der größten Daten-Hubs“

Gesundheitsministerin Warken sieht das Forschungsdatenzentrum als „Innovationsmotor“ der Gesundheitsforschung. Die Einrichtung ist beim Bundesamt für Arzneimittel und Medizinprodukte (BfArM) in Bonn angesiedelt. Seit 2022 werden dort Gesundheitsdaten zu allen gesetzlich Versicherten in einer zentralen Datenbank zusammengeführt und für die Dauer von bis zu 100 Jahren gespeichert. Forschende müssen sich bei diesem Zentrum registrieren, um mit den Daten arbeiten zu können.

Bislang übermitteln die gesetzlichen Krankenkassen nur die Abrechnungsdaten all ihrer Versicherten an das FDZ. Diese Daten geben Auskunft darüber, welche Leistungen die Versicherungen in Rechnung gestellt bekommen haben und mit welchen Diagnosen diese versehen sind.

Ab dem vierten Quartal dieses Jahres sollen dann nach und nach die Behandlungsdaten aus der elektronischen Patientenakte hinzukommen. BfArM-Chef Karl Broich geht davon aus, dass seine Behörde in zehn Jahren bundesweit „einer der großen Daten-Hubs“ ist.

„Gesundheitsdaten brauchen zwingend angemessene Sicherheitsmaßnahmen“

Sollte die GFF mit ihrer Klage Erfolg haben, könnte dieses Ziel verfehlt werden. Denn bislang ist vorgesehen, dass die ePA-Daten automatisch an das FDZ gehen – sofern Versicherte dem nicht aktiv widersprechen. Dieser Automatismus müsste dann möglicherweise einer aktiven Einwilligung der Versicherten weichen.

Aus Sicht der Klagenden wäre dies zu begrüßen. „Es wird höchste Zeit, dass das Verfahren fortgeführt wird“, sagt Constanze Kurz. „Denn es braucht Klarheit zur Sicherheit und zum Widerspruchsrecht, schon weil inzwischen der Kreis der nutzungsberechtigten Stellen ganz erheblich erweitert wurde.“

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Die EU-Kommission wird demnächst neue Überwachungsansätze vorstellen und plant unter dem Deckmantel „rechtmäßiger Zugang“ einen weiteren Angriff auf die verschlüsselte Kommunikation. Europäische Digitalorganisationen machen dagegen jetzt mobil.

Der Dachverband europäischer Digitalorganisationen EDRi hat eine neue Kampagne zum Schutz von Verschlüsselung und privater Kommunikation gestartet. Hintergrund der Kampagne „Keep It Safe and Secure“ (KISS) ist, dass die verschlüsselte Kommunikation in der EU nicht nur durch die Chatkontrolle-Gesetzgebung unter Druck steht, sondern auch durch weitere Projekte.

Staatliche Akteure wie Polizeien und Geheimdienste begehren unter dem Deckmantel des Going-Dark-Narrativs Zugriff auf die Inhalte der Kommunikation. Außerdem beklagt EDRi, dass eine staatlich alimentierte Hacking-Industrie Menschen aus Aktivismus, Politik, Wirtschaft und Journalismus ins Visier nehme und die IT-Sicherheit aller Menschen gefährde.

Die EU hatte im letzten Jahr unter dem Schlagwort ProtectEU einen Fahrplan zum Ausbau der Überwachung vorgestellt. Die Angriffe auf die Verschlüsselung verstecken sich hinter der Formulierung „Rechtmäßiger Zugang zu Daten für Strafverfolgung“. Die Pläne sehen neben einem Angriff auf Verschlüsselung auch den Ausbau der Vorratsdatenspeicherung vor. Die EU-Kommission will noch im ersten Quartal eine Folgenabschätzung dazu veröffentlichen.

Schwachstellen und Hintertüren

Europol und andere Strafverfolgungsbehörden, so heißt es in der Kampagne, drängten unter anderem darauf, Hacking-Methoden zu legalisieren, welche die Verschlüsselung schwächen. Diese Methoden sind immer damit verbunden, Schwachstellen und Hintertüren in Hard- und Software einzubauen oder auszunutzen.

Zu den Methoden gehören wie bei der Chatkontrolle ursprünglich geplant das Client-Side-Scanning, bei dem Inhalte wie Texte, Bilder oder Videos auf einem Gerät oder in einem Kommunikationskanal schon vor der Verschlüsselung gescannt werden. Weitere Ansätze sind unsichere Verschlüsselungsmethoden, bei denen nicht nur die Kommunizierenden Schlüssel haben, sondern Behörden „Nachschlüssel“ zum Entschlüsseln der Kommunikation besitzen. Ein weiterer Ansatz sind Systeme, bei denen Behörden als unsichtbarer „Geist“ an verschlüsselter Kommunikation teilnehmen und die Kommunikation so mitlesen können.

Schutz von Verschlüsselung gefordert

In einer Petition fordern EDRi und die Bündnispartner der Kampagne von den EU-Abgeordneten Schutz von Verschlüsselung und ein Verbot von Staatstrojanern. Die massive Mobilisierung im Rahmen Chatkontrolle sei ein klares Zeichen dafür gewesen, dass den Menschen Verschlüsselung wichtig ist. „Wenn wir die Verschlüsselung verlieren, verlieren wir auch das Vertrauen in alles, was wir online tun, und gefährden damit die Sicherheit unserer demokratischen Gesellschaft, unserer Wirtschaft und unserer Menschenrechte“, heißt es weiter.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.

Obwohl sich der Gemeinderat dagegen ausgesprochen hat, setzen Tübingens Oberbürgermeister Boris Palmer und das Regierungspräsidium Videoüberwachung durch. Dafür greifen sie auf eine ungewöhnliche Rechtsgrundlage zurück.

Laut Polizeigesetz von Baden-Württemberg ist Videoüberwachung des öffentlichen Raums erlaubt, wenn dort besonders viel Kriminalität stattfindet und das auch in Zukunft zu erwarten ist. Boris Palmer, Ex-Grüner und nun parteiloser Oberbürgermeister von Tübingen, wollte auf Basis dieses Gesetzes Kameras im Bereich vor dem Hauptbahnhof errichten lassen.

Doch der Landesdatenschutzbeauftragte von Baden-Württemberg, Tobias Keber, stellte sich gegen den Plan. In dem Areal finde gar nicht übermäßig viel Kriminalität statt, zuletzt seien die Zahlen sogar gesunken, argumentierte er. „Bei der Videoüberwachung handelt es sich um eine Maßnahme mit hoher Eingriffsintensität, da großflächig Grundrechte von Bürgerinnen und Bürgern eingeschränkt werden, die hierfür keinen Anlass gegeben haben. Ein solcher Grundrechtseingriff kann ausnahmsweise gerechtfertigt sein“, schrieb er. Die Voraussetzungen für diese Ausnahme seien aber nicht erfüllt.

Auch aus Tübingen selbst gab es Widerstand. Der Verwaltungsausschuss der Stadt beschloss: „Die Stadtverwaltung wird aufgefordert, keine Kameras zur Videoüberwachung auf dem Europaplatz zu installieren.“ Der Gemeinderat strich dem Projekt die Finanzierung.

Videoüberwachung nach Datenschutzgesetz

Boris Palmer und das Tübinger Regierungspräsidium, das die Überwachungspläne unterstützt, haben daraufhin die Rechtsgrundlage gewechselt, mit der sie die Videoüberwachung rechtfertigen. Nun soll nicht mehr nach Polizeigesetz, sondern nach Landesdatenschutzgesetz überwacht werden. Demnach ist Videoüberwachung erlaubt, um Personen zu schützen, die sich in öffentlichen Einrichtungen oder deren Nähe bewegen, oder um Kulturgüter, Gebäude und Sachen zu sichern.

Anfang Februar wurde die Novelle des Landesdatenschutzgesetzes vom Landtag beschlossen. Tübingen soll nun zum Vorreiter in der Nutzung dieses Gesetzes zur Videoüberwachung werden.

Ob dessen sehr niedrige Eingriffsschwelle reicht, um die massiven Persönlichkeitsrechtsverletzungen aller Passant*innen an diesem belebten Areal zu rechtfertigen, ist fragwürdig. Gerade prüft der Landesdatenschutzbeauftragte das Vorgehen.

Sechs Kameras geplant

Das Regierungspräsidium teilte dem Reutlinger General-Anzeiger (GEA) mit, „dass die Videoüberwachung am Europaplatz in Tübingen mit den im Landesdatenschutzgesetz genannten Zielen begründet werden kann und es der polizeirechtlichen Begründung nicht mehr bedarf“. Die Überwachung werde deshalb nun eingeführt. Die Stadtverwaltung ließ GEA wissen, dass man bereits Angebote für die Installation von sechs Kameras einhole.

Und auch die Tatsache, dass der Gemeinderat die finanziellen Mittel für die Überwachung gesperrt hat, will die Verwaltung unter Boris Palmer umgehen. Sie verkündete gegenüber dem SWR, dass man ja Mittel umschichten könne, bis zu 70.000 Euro könne Palmer auch freihändig investieren. 20.000 Euro sollen die sechs Kameras kosten.

Dabei gab Palmer in einer Stellungnahme gegenüber dem Jugendgemeindebeirat zu, dass es auch andere Möglichkeiten gäbe, das Sicherheitsgefühl der Bevölkerung vor dem Bahnhof zu steigern, die weniger in das Persönlichkeitsrecht eingreifen: Notrufsäulen, verbesserte Beleuchtung, verstärkte Bestreifung.

---

Die Arbeit von netzpolitik.org finanziert sich zu fast 100% aus den Spenden unserer Leser:innen.
Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus jetzt mit einer Spende.