Breite Kritik an von der Leyens EU Kids Act: Jugendschutz oder digitaler Maulkorb?

Die EU-Kommission plant strikte Altersgrenzen und Pflichten für Social-Media-Plattformen. Zivilgesellschaft, Digitalwirtschaft und Rechtsexperten äußern erhebliche Bedenken.

Die Angelegenheit schlägt hohe Wellen in Brüssel und Berlin: EU-Kommissionspräsidentin Ursula von der Leyen hat in ihrer Rede zur Lage der Europäischen Union Eckpunkte für den neuen EU Kids Act vorgestellt. Der Gesetzesentwurf dürfte demnach drastische Einschränkungen vorsehen. Kinder unter 13 Jahren sollen Social-Media-Plattformen künftig gar nicht mehr nutzen dürfen. Für 13- und 14-Jährige sind stark eingeschränkte Konten unter elterlicher Aufsicht geplant, inklusive Nutzungszeit- und Kontaktbeschränkungen. Für Jugendliche zwischen 15 und 18 Jahren sollen Plattformen nachweisen müssen, dass ihre Dienste sicher sind. Der Geltungsbereich geht dabei weit über soziale Netzwerke hinaus und umfasst auch KI-Chatbots, Online-Spiele und App-Stores.

Während die Bundesregierung und Teile des EU-Parlaments die Initiative grundsätzlich begrüßen, formiert sich in der Zivilgesellschaft, der Wissenschaft und der Digitalwirtschaft heftiger Widerstand. Im Zentrum der Kritik steht die für alle Altersgrenzen notwendige technische Durchsetzung: die Altersverifikation.

Die Digitalpolitik-Expertin Svea Windwehr, Co-Vorsitzende des Vereins D64, warnt vor einem massiven Eingriff in die Grundrechte aller Bürger. Der Kern von von der Leyens Vorschlag sei eine Verifikation, für die es aktuell keine Technologie gebe, die das Alter zuverlässig feststellen könne, ohne Privatsphäre und Sicherheit von Millionen zu gefährden. Unter 15-Jährige würden nur noch unter starker Überwachung an Online-Räumen teilhaben können. Junge Menschen ohne vertrauensvolle Beziehungen zu ihren Eltern drohten gänzlich ausgeschlossen zu werden. Was Jugendlichen wirklich helfe, sei die konsequente Durchsetzung des Digital Services Act (DSA) und eine Absage an das Geschäftsmodell von Big Tech, mit Nutzerdaten Geld zu verdienen, statt invasive Kontrollen einzuführen.

Auch aus der Digitalwirtschaft kommen deutliche Warnungen. Bitkom-Hauptgeschäftsführer Bernhard Rohleder betonte, Kinder brauchten Schutz und keinen digitalen Maulkorb. Die Altersgrenzen schössen über das Ziel hinaus, da Medienkompetenz nicht durch Ausschluss, sondern durch geschützte Praxis entstehe. Rohleder verwies zudem auf praktische Hürden: Digitale Wallets wie die EUDI-Wallet kämen an rechtliche Grenzen, da die erforderliche eID oft erst ab 16 Jahren ausgegeben werde. Zudem schaffe eine zweite Regulierungsstruktur neben dem DSA unnötige Bürokratie.

Rechtsexperten äußern grundlegende verfassungs- und europarechtliche Bedenken. Stephan Dreyer vom Hans-Bredow-Institut hob hervor, dass die geplante Altersgrenze von 15 Jahren höher liege als von EU-Experten empfohlen und überraschend auch Online-Spiele treffe, ohne dass Eltern hier Ausnahmen erlauben könnten. Besonders kritisch sieht Dreyer die Abkehr von der bisherigen nachträglichen Aufsicht hin zu einer behördlichen Vorabgenehmigung neuer Plattform-Funktionen durch die Kommission. Da alle Bürger ihr Alter nachweisen müssten, um jüngere Nutzer zu schützen, wäge der Vorschlag die Verhältnismäßigkeit unzureichend ab und greife tief in die Informations- und Meinungsfreiheit ein. Zudem fehle bisher ein elektronisches Verfahren zum Nachweis der Personensorgeberechtigung, was die praktische Elternkontrolle kaum umsetzbar mache.

Auf Seiten der Verbraucherschützer wird ebenfalls betont, dass Altersgrenzen allein das Problem nicht lösen. Ramona Pop, Vorständin des Verbraucherzentrale Bundesverbands, forderte faire Design-Vorgaben für alle Altersgruppen. Da die negativen Folgen des Aufmerksamkeitsdrucks nicht nur Minderjährige betreffen, müssten wirksame Standards gegen süchtigmachende Mechanismen standardmäßig aktiviert sein und zusätzlich durch einen europäischen Digital Fairness Act ergänzt werden.

Unterstützung erhält die EU-Kommission dagegen von der Politik. Bundesjustizministerin Dr. Stefanie Hubig forderte eine rasche Umsetzung und verglich die Pflichten der Plattformbetreiber mit dem Jugendschutz in Gaststätten und Kinos. Auch die Grünen-Digitalpolitikerin Alexandra Geese begrüßte ein Mindestalter und die klare Verurteilung suchtverstärkender Mechanismen als richtungsweisend, betonte jedoch zeitgleich, dass von der Leyen bereits mit dem DSA alle Werkzeuge in der Hand habe, um aufmerksamkeitsgetriebene Algorithmen abzuschalten.

KI-Filter im Recruiting: Welches Tool die Bewerbung schreibt, ist oft entscheidend

Eine Studie legt nahe: Identische Job-Kandidaten haben je nach KI-Schreibtool um bis zu 42 Prozentpunkte unterschiedliche Chancen beim automatisierten Screening.

Wer sich bei der Bewerbung von Künstlicher Intelligenz unterstützen lässt, erlebt unter Umständen eine böse Überraschung: Welches Sprachmodell den Lebenslauf verfasst, kann darüber entscheiden, ob das Dokument im digitalen Papierkorb landet oder eine Einladung zum Gespräch erfolgt. Das gilt selbst dann, wenn die beruflichen Qualifikationen völlig identisch sind. Zu diesem Ergebnis kommt ein Arbeitspapier des Forschers Christopher Ort von i10X Research. Die Untersuchung liefert erstmals systematische Zahlen für ein Phänomen, das Fragen für den Arbeitsmarkt und Regulier aufwirft.

In der Praxis prüfen Unternehmen Bewerbungen längst automatisiert mit KI-Systemen. Arbeitssuchende wiederum nutzen dieselben Modelle, um Lebensläufe aufzupolieren. Bisher fehlte der Nachweis, ob die Wahl des KI-Schreibwerkzeugs die Erfolgschancen im Bewerbungsprozess verändert. Für die Studie erstellte Ort 100 synthetische Kandidatenprofile aus zwölf Branchen und vier Karrierestufen. Sämtliche harten Fakten wie Berufserfahrung, Abschlüsse und Qualifikationen blieben bei allen Varianten gleich.

Vier führende KI-Modelle – GPT-5.4 von OpenAI, Claude Sonnet 4.6 von Anthropic, Gemini 3 Pro von Google sowie Grok 4.3 von xAI – erstellten aus den Profildaten jeweils eigene Lebenslauf-Varianten. Diese unterschieden sich ausschließlich in Sprache, Struktur und Satzbau. Anschließend bewerteten dieselben vier Modelle als virtuelle Personalentscheider alle 400 Bewerbungsunterlagen in einer Blindstudie. Von 1600 theoretisch möglichen Auswertungen flossen 1576 valide Datensätze in die Analyse ein. Die KI-Systeme vergaben Punkte von 0 bis 100 sowie eine Empfehlung: Einstellung, Vielleicht oder Ablehnung. Um reale Bedingungen abzubilden, galt nur eine explizite Einstellungsempfehlung als Erfolg, da Bewerbungen in der Kategorie Vielleicht in automatisierten Prozessen selten menschliche Recruiter erreichen.

Die Ergebnisse belegen erhebliche Abweichungen allein aufgrund des gewählten Schreibstils. Bei identischer Qualifikation schwankte die Chance auf eine Einstellungsempfehlung um bis zu 42 Prozentpunkte, je nachdem, welches Modell das Dokument verfasst hatte. Besonders drastisch zeigte sich dieser Effekt bei Claude Sonnet 4.6 als Bewerter: Von GPT verfasste Lebensläufe erhielten bei dem Anthropic-Modell nur in 42 Prozent der Fälle grünes Licht. Stammte der Lebenslauf dagegen von Claude selbst, stieg die Einstellungs-Empfehlung auf 84 Prozent. Den Höchstwert erzielten von Gemini verfasste Unterlagen mit 90 Prozent. Claude erwies sich damit als strengster Prüfer im Testfeld und zeigte zugleich eine ausgeprägte Vorliebe für den eigenen Textstil.

Andere Modelle zeigten abweichende Muster. GPT-5.4 bevorzugte keineswegs die eigenen Formulierungen. Während das OpenAI-Modell selbst verfasste Lebensläufe in 82 Prozent der Fälle zur Einstellung empfahl, schnitten Gemini-Texte mit 97 Prozent und Claude-Texte mit 95 Prozent deutlich besser ab. GPT-5.4 zeigte so eine Form negativer Selbstbevorzugung. Unabhängig davon funktionierten die Modelle grundsätzlich als Qualitätsfilter: Eine unpassende Bewerbung eines Berufseinsteigers auf eine Führungsposition wurde von allen Evaluatoren konsequent abgelehnt.

Ein weiteres Ergebnis betrifft die Dokumente aus der Feder von Gemini 3 Pro. Diese Schnittformate wurden von allen vier Test-KIs am erfolgreichsten bewertet. Mit Erfolgsquoten zwischen 90 und 97 Prozent überzeugte die strukturierte Form von Gemini durchgehend. Zudem traten bei identischen Dokumenten eklatante Bewertungsunterschiede zwischen den Prüfern auf. Im extremsten Fall vergab GPT-5.4 für einen von Claude verfassten Lebenslauf 74 Punkte, während Claude dasselbe Dokument mit lediglich 45 Punkten bewertete und ablehnte. Dieser Abstand von 29 Punkten entstand rein durch das prüfende Modell.

Wenn die Wahl eines KI-Tools die Einstellungschancen massiv beeinflusst, entstehen neue Diskriminierungsrisiken. Zudem stellt sich die Frage nach Transparenzpflichten gemäß Artikel 13 des EU AI Act bei Hochrisiko-KI-Systemen im Personalbereich. Firmen, die auf einkanalige KI-Filter setzen, riskieren hochqualifizierte Fachkräfte auszusortieren, nur weil deren Lebenslauf im falschen KI-Format vorliegt. Ort empfiehlt Unternehmen daher, automatisierte Bewerbungssortierungen vorab auf Stil-Unabhängigkeit zu testen und Prüf-Panels aus mehreren Modellen einzusetzen.

Stefan Krempl

Wettlauf im All: Wie kommerzielle Satelliten die Kriegführung verändern

Militärs nutzen verstärkt die Mega-Konstellationen privater Tech-Konzerne. Privacy International warnt vor dramatischen Folgen für das Völkerrecht und die weltweite Sicherheit.

Das All ist längst kein friedlicher Ort der reinen Wissenschaft mehr, sondern hat sich zum Schauplatz geopolitischer Machtkämpfe entwickelt. Wo einst staatliche Raumfahrtagenturen das Monopol innehatten, bestimmen heute private Tech-Giganten und Risikokapitalgeber das Geschehen in der Umlaufbahn. Eine Analyse der Bürgerrechtsorganisation Privacy International zeichnet ein besorgniserregendes Bild dieser Entwicklung: Unter dem Deckmantel ziviler und humanitärer Zwecke entsteht in der erdnahen Umlaufbahn eine kritische Infrastruktur, die primär militärischen Interessen dient und künftige Kriege grundlegend verändert.

Die schiere Masse an Flugkörpern im Orbit hat in den vergangenen Jahren massiv zugenommen. Gab es im Jahr 2014 gerade einmal rund 1000 aktive Satelliten, kreisten zehn Jahre später bereits mehr als 10.000 künstliche Trabanten um die Erde. Treibender Motor dieser Entwicklung sind private Anbieter von erdnahen Kommunikationsnetzen. Allen voran dominiert das Unternehmen SpaceX von Elon Musk mit seinem Starlink-Netzwerk den Markt. Mit Tausenden Satelliten kontrolliert der Konzern einen Großteil der funktionierenden Erdtrabanten. Und die Expansion geht ungebremst weiter: China hat bei der Internationalen Fernmeldeunion bereits Frequenzanträge für ein System aus über 200.000 geplanten Satelliten eingereicht.

Diese kommerziellen Megakonstellationen sind keineswegs nur für mobiles Internet auf Kreuzfahrtschiffen oder in entlegenen Regionen gedacht. Längst hat etwa das US-Verteidigungsministerium die enorme Bedeutung dieser privaten Infrastruktur erkannt und Verträge mit zahlreichen Anbietern geschlossen, um hochentwickelte Satellitendienste direkt in militärische Befehlsketten einzubinden. Die Grenzen zwischen ziviler Nutzung und militärischer Aufklärung verschwimmen dabei zusehends. Hochauflösende optische Sensoren, Radar-Technologien und Infrarotsysteme privater Anbieter liefern Daten in Echtzeit, die für Zielerfassungen und Truppenbewegungen genutzt werden.

Besonders problematisch ist laut Privacy International das sogenannte Dual-Use-Narrativ, das viele Betreiber pflegen. Firmen betonten nach außen hin gern den humanitären Nutzen ihrer Systeme – etwa bei der Katastrophenhilfe oder der Dokumentation von Menschenrechtsverletzungen. Doch dieselben hochauflösenden Aufnahmen und Datenströme fließen nahtlos in militärische Lagezentren und Grenzsicherungssysteme. Wer die Hoheit über diese Sensoren besitzt, entscheidet maßgeblich darüber, welche Konflikte beleuchtet werden und welche im Verborgenen bleiben. Zivile Hilfe und militärische Kontrolle basieren somit auf derselben technologischen Grundlage.

Diese Entwicklung birgt gravierende rechtliche und politische Risiken. Das bestehende Völkerrecht wie der Weltraumvertrag von 1967 stammt aus einer Ära, in der ausschließlich Staaten im All agierten. Es fehlt an klaren Regeln für den Umgang mit privaten Akteuren, die in bewaffneten Konflikten Partei ergreifen. Wenn kommerzielle Satellitensysteme für militärische Operationen genutzt werden, können sie nach dem Humanitären Völkerrecht zu legitimen militärischen Zielen werden. Dies erhöht der Untersuchung zufolge die Gefahr, dass globale Kommunikationsnetze, von denen auch das zivile Leben abhängt, in bewaffneten Auseinandersetzungen ins Visier geraten.

Gleichzeitig wird die Macht einzelner Tech-Milliardäre zu einer geopolitischen Unbekannten. Die Entscheidung, ob ein Satellitennetzwerk über einem Kriegsgebiet aktiviert oder abgeschaltet wird, liegt mitunter in den Händen einzelner Firmenchefs. Diese immense Ballung von Macht entzieht sich weitgehend demokratischer Kontrolle und staatlicher Regulierung. Während Regierungen versuchen, mit neuen Raumfahrtstrategien auf die Dynamik der Industrie zu reagieren, hinkt die internationale Gesetzgebung der Realität im Orbit weit hinterher. Der neue Wettlauf im All ist so längst kein ziviles Abenteuer mehr, sondern ein hochgefährliches Wettrüsten unter privater Regie.

Stefan Krempl

Altersverifizierung: Kontrollinfrastruktur unter dem Deckmantel des Jugendschutzes

Die EU plant ein Altersnachweis-System für Online-Dienste. Bürgerrechtler warnen vor massiven Mängeln beim Datenschutz und drohender Dauerüberwachung.

EU-Kommissionspräsidentin Ursula von der Leyen kündigte bereits im Sommer an, im Rahmen der jährlichen Rede zur Lage der EU einen Gesetzesvorschlag für ein Verbot sozialer Medien ohne Altersverifikation vorzulegen. Das Vorhaben stützt sich auf eine App zur Altersbestimmung, die von der Kommission kurz zuvor als technisch ausgereift und einsatzbereit angepriesen wurde. Fachleute und Öffentlichkeit begegneten diesem Vorstoß aber rasch mit Spott, denn statt einer fertigen Anwendung lieferte die Brüsseler Behörde nur eine Blaupause. Dieser Entwurf, die sogenannte Mini-Wallet, soll den Mitgliedstaaten als Vorlage dienen, um eigene Apps zu entwickeln, ergänzt durch eine recht rudimentäre Demo-Version.

Technisch basiert diese Initiative auf der eID-Wallet, die von den EU-Staaten bis Ende 2026 für alle Bürger bereitgestellt werden muss. Die Bürgerrechtsorganisation European Digital Rights weist jedoch eindringlich darauf hin, dass effektiver Jugendschutz im Netz auch ohne flächendeckende und verpflichtende Identitätskontrollen möglich sei. Sollte die Politik dennoch auf technischen Zugangssperren bestehen, müssten höchste Maßstäbe an Datenschutz, IT-Sicherheit und Diskriminierungsfreiheit angelegt werden. Die aktuelle Realität sieht anders aus, denn die geplante Kontrollarchitektur entfaltet sich rasant und weist fundamentale Schwachstellen auf.

Bereits das Fundament des Systems wirft laut EDRi gravierende Fragen auf. Gesetzlich ist für die eID-Wallet vorgeschrieben, dass die Unverknüpfbarkeit von Daten gewährleistet sein muss. Konkret bedeutet das, dass niemand in der Lage sein darf, die Nutzung von altersbeschränkten Online-Diensten mit der realen Identität einer Person zusammenzuführen. Die EU-Kommission schwächt diesen Standard aber ab und strebt in ihren Spezifikationen nur an, eine Verknüpfung zu erschweren, anstatt sie konsequent technisch zu verhindern.

Dazu kommt ein systemischer Ausschluss: Die verlässliche Altersverifikation erfordert eine Vertrauensquelle in Form des Personalausweises, der über biometrische Verfahren wie Gesichtserkennung mit der Mini-Wallet gekoppelt wird. Wer über keine passenden Ausweisdokumente oder ein kompatibles Smartphone verfügt oder sich schlicht der Gesichtserkennung verweigert, wird von der Nutzung ausgeschlossen.

Zwar existieren kryptografische Verfahren wie Zero-Knowledge-Proofs (ZKP), mit denen die Volljährigkeit nachgewiesen werden kann, ohne persönliche Daten preiszugeben. Doch die Richtlinien der Kommission schreiben deren Einsatz nicht zwingend vor. Während die Bereitstellung von Identitätsnachweisen verbindlich vorgegeben wird, bleibt die Nutzung datenschutzfreundlicher Kryptografie für App-Entwickler und Plattformanbieter eine bloße Empfehlung.

Anstelle moderner ZKP setzt die Kommission primär auf ein Verfahren zur stapelweisen Ausstellung von Nachweisen (Batch Issuance). Dabei erhält der Nutzer ein Paket einmaliger Zertifikate. Obwohl dies das Tracking zwischen verschiedenen Webseiten erschwert, sind in diesen Dokumenten weiterhin eindeutige Parameter wie Zeitstempel, Hashes und digitale Signaturen enthalten. Sollten der Zertifikate-Aussteller und die genutzten Plattformen zusammenarbeiten, lässt sich das Nutzerverhalten über verschiedene Dienste hinweg lückenlos nachverfolgen. Eine echte Anonymität wird dadurch keineswegs garantiert.

Selbst wenn der Einsatz von Zero-Knowledge-Proofs verpflichtend wäre, blieben erhebliche Risiken bestehen, warnt EDRi. Die Blaupause der Kommission sieht vor, dass der Aussteller der Altersnachweise zugleich als Anbieter der Verifikations-App fungieren kann. Diese Verknüpfung der Kontrolle bei einer einzigen Instanz wie dem Staat erleichtert die Überwachung der Bürger. Ferner fehlt eine strikte Verpflichtung zur Datenminimierung, die das Speichern von Transaktionsdaten ausdrücklich untersagt. IT-Sicherheitsexperten warnen davor, dass zentrale Systeme bei Sicherheitslücken, behördlichen Anordnungen oder missbräuchlicher Nutzung schnell zu einer Katastrophe für den Privatsphärenschutz werden.

Die Problematik beschränkt sich nicht auf die Kinderkrankheiten und Sicherheitsmängel der ersten Demo-App. Gemäß der eIDAS-Verordnung müssen die Mitgliedstaaten den Quellcode ihrer Wallet-Apps zwar grundsätzlich als Open Source offenlegen. Doch das gilt nicht zwingend für Hintergrundbibliotheken, Serverstrukturen oder eigenständige Jugendschutz-Apps.

In Dänemark kommt bereits eine Anwendung mit proprietärem Code auf der Nutzerseite zum Einsatz, was eine unabhängige Überprüfung durch Fachleute unmöglich macht. Zudem weichen mehrere EU-Länder von den technischen Vorgaben der Kommission ab. Es droht ein Flickenteppich aus 27 unterschiedlichen nationalen Systemen mit schwankenden Datenschutzstandards. Ist diese digitale Kontrollinfrastruktur erst einmal etabliert, kann das Versprechen einer anonymen Verifikation jederzeit gekippt werden.

In Belgien und Österreich werde bereits darüber diskutiert, den Zugang zu sozialen Medien und Videoplattformen an die Feststellung der realen Identität zu knüpfen, moniert EDRi. Die flächendeckende Altersverifikation drohe damit zum Beschleuniger für den Verlust des freien, anonymen Internetzugangs zu werden.

Stefan Krempl

Totalüberwachung im Dönerbetrieb: Gericht billigt Verwarnung plus Bußgeld

Ein Fleischproduzent ließ Belegschaft und Areal lückenlos filmen. Das Verwaltungsgericht Hannover bestätigte nun die Rechtmäßigkeit doppelter Datenschutz-Sanktionen.

Ein Großbetrieb für Dönerfleisch wollte ganz genau wissen, was auf dem Werksgelände geschieht, und installierte dafür ein engmaschiges Kamerasystem. Ob in den Hallen der Fertigung, in Büroräumen, auf den Außenflächen oder mitten im Pausenraum – in nahezu jedem Winkel des Betriebes zeichneten Linsen das Geschehen auf. Das Videomaterial, ergänzt um mehr als 76.000 Standbilder, wanderte auf einen internen Server und blieb dort über Jahre hinweg ohne Löschkonzept gespeichert. Aufgedeckt wurde die umfassende Überwachung schließlich durch Zufall: Prüfer des Gewerbeaufsichtsamtes stießen bei einer gewöhnlichen Begehung in den Räumen der Geschäftsführung und einzelner Angestellter auf Monitore, auf denen Live-Streams aus sämtlichen Betriebsteilen liefen.

Die zuständige Datenschutzaufsichtsbehörde schaltete sich ein und stellte die Rechtswidrigkeit der Datenverarbeitung sowie erhebliche Verstöße gegen den Grundsatz der Speicherbegrenzung fest. Da die Unternehmensleitung zudem kein Verzeichnis von Verarbeitungstätigkeiten vorgelegt hatte, erging zunächst eine offizielle Verwarnung. In einem separaten Verfahren folgte später ein Bußgeld, das nach einer gerichtlichen Auseinandersetzung rechtskräftig auf 8000 Euro festgesetzt wurde. Der Betreiber wollte diese Entscheidung jedoch nicht akzeptieren und zog vor das Verwaltungsgericht Hannover.

Vor Gericht argumentierte die Firma, dass die flächendeckende Videoüberwachung zur Sicherung der strengen Hygieneanforderungen in der Lebensmittelverarbeitung unverzichtbar sei. Die Kameras auf dem Außengelände wurden mit vergangenem Vandalismus begründet. Ferner berief sich der Betreiber darauf, dass die Belegschaft schriftliche Einwilligungserklärungen unterzeichnet habe. Nicht zuletzt stellte sich das Unternehmen auf den Standpunkt, dass nach der bereits ausgesprochenen Verwarnung kein Bußgeld mehr hätte verhängt werden dürfen, da dies dem Verbot der Doppelbestrafung widerspreche.

Das Verwaltungsgericht Hannover erteilte dieser Argumentation mit seinem Urteil vom 7. August 2026 (Az.: 10 A 5144/23), über das der Fachdienst Beck berichtet, eine deutliche Absage und wies die Klage ab. Die Richter stellten fest, dass es für die Vollüberwachung an jeglicher rechtlichen Grundlage fehlte. Der im Beschäftigtenkontext maßgebliche Paragraf 26 des Bundesdatenschutzgesetzes decke eine derart einschneidende Maßnahme nicht ab. Die Einhaltung von Hygienevorschriften habe über Personalschulungen zu erfolgen, keinesfalls aber über eine permanent mitlaufende Überwachung, die insbesondere in Pausenräumen unzulässig ist. Auch die Aufdeckung von Straftaten rechtfertige keine pauschale Überwachung, da hierfür konkrete Verdachtsmomente vorliegen müssten.

Ebenso wenig konnten die vorgelegten Einwilligungen der Mitarbeitenden den Verstoß heilen. Das Gericht äußerte erhebliche Zweifel an der Freiwilligkeit, da die Erklärungen bereits beim Abschluss der Arbeitsverträge gefordert wurden. Das Ausräumen eines Generalverdachts stellt für Beschäftigte keinen Vorteil dar. Auch ein berechtigtes Interesse an der Überwachung des Außenbereichs verneinte das Gericht, da Schutzmaßnahmen eine Gefährdungslage erfordern, die über das allgemeine Lebensrisiko hinausgeht. Subjektive Befürchtungen reichen dafür nicht aus.

Als besonders bedeutsam erweisen sich die Ausführungen des Gerichts zur Kombination von Verwarnung und Bußgeld: Das Verbot der Doppelbestrafung greife nicht, da eine Verwarnung keine Sanktion darstelle, sondern nur den Rechtsverstoß feststelle. Demgegenüber besitzen Geldbußen einen echten Strafzweck. Die DSGVO erlaubt es ausdrücklich, Geldbußen zusätzlich zu Verwarnungen zu verhängen. Für Betroffene liegt darin ein klarer Mehrwert: Der rechtskräftige Verwarnungsbescheid stellt das Unrecht verbindlich fest und erleichtert dadurch die Durchsetzung von Schadensersatzansprüchen.

Stefan Krempl

Schimmel, Kot und TikTok-Videos: Datenschutz-Bußgeld gegen irischen Gesundheitsdienst HSE

Wegen verrottender Papierakten in verfallenen Kliniken verhängt die irische Datenschutzbehörde 645.000 Euro Strafe. Eindringlinge filmten sensible Patientendaten.

Der irische Gesundheitsdienst Health Service Executive (HSE) sieht sich mit gravierenden Datenschutzverstößen und nun auch einem Bußgeld konfrontiert. Die irische Datenschutzkommission hat nach einer umfassenden Untersuchung eine Strafe in Höhe von insgesamt 645.000 Euro gegen die staatliche Gesundheitsbehörde verhängt. Neben der Geldbuße sprach die Data Protection Commission (DPC) eine offizielle Verwarnung aus und erließ weitreichende Korrekturanweisungen. Grund für die harten Maßnahmen sind erschreckende Missstände bei der Lagerung und Aufbewahrung von Papierakten mit sensiblen medizinischen Patientendaten in externen Einrichtungen der Behörde.

Der Fall nahm im Herbst 2023 seinen Anfang, als die HSE der Aufsichtsbehörde zwei Datenpannen melden musste. Im Oktober 2023 verschafften sich Unbefugte Zugang zu Akten im St. Loman’s Hospital im County Westmeath – einem stillgelegten, asbestbelasteten ehemaligen psychiatrischen Krankenhaus. Nur einen Monat später folgte eine weitere Meldung über einen unbefugten Zutritt zu Dokumenten im New Building des St. Conal’s Hospital im County Donegal, einer ebenfalls verfallenen und stark verschimmelten ehemaligen Nervenklinik.

Aufmerksam wurden Öffentlichkeit und Behörden auf die Sicherheitslücken unter anderem durch Videos in sozialen Medien. Eindringlinge hatten dort Aufnahmen hochgeladen, die offen herumliegende Krankenakten in den verlassenen Gebäudekomplexen zeigten. Im April 2024 musste der HSE zudem einräumen, dass über Online-Netzwerke ein weiterer Einbruch in den Keller des St. Loman’s Hospital bekannt geworden war, wo unter anderem ältere Akten aus der psychiatrischen Versorgung lagerten.

Diese Vorfälle veranlassten die DPC im Mai 2024 zur Einleitung einer förmlichen Untersuchung. Um zu klären, ob es sich um Einzelfälle oder ein systemisches Versagen handelt, führten ermächtigte Inspektoren der Datenschutzbehörde landesweit zwölf Standortprüfungen durch. Das Ergebnis dieser Inspektionen zeichnet ein verheerendes Bild von der Verwaltung und den physischen Bedingungen der HSE-Lagerstätten.

Der stellvertretende Leiter der DPC, Graham Doyle, beschrieb die Zustände schonungslos. Bei den Begehungen stießen die Prüfer auf Dokumente, die durch Schimmelfrass zerstört, mit Tierkot kontaminiert, von Bauschutt bedeckt oder durch Feuchtigkeit und Fäulnis unlesbar geworden waren. Von einer geordneten oder zugänglichen Archivierung konnte keine Rede mehr sein. Unterlagen lagerten in ungenutzten Badezimmern, Duschkabinen, einem Frachtcontainer in einem Torfschuppen, unbeleuchteten und ungeheizten Räumen sowie in baufälligen Gebäuden an verschiedensten Orten.

Nach Auffassung der Aufsichtsbehörde birgt diese unsichere und unbegrenzte Aufbewahrung über die zulässigen Fristen hinaus ein dauerhaftes Risiko, dass unbefugte Dritte Zugriff auf hochsensible Gesundheitsdaten erlangen. Zudem bestehe die Gefahr, dass notwendige Unterlagen für spätere medizinische Behandlungen oder rechtliche Belange schlicht nicht mehr auffindbar sind.

In ihrer Entscheidung stellt die DPC fest, dass die HSE gleich gegen mehrere Kernbestimmungen der europäischen Datenschutz-Grundverordnung (DSGVO) verstoßen hat. Die Behörde verletzte den Grundsatz der Integrität und Vertraulichkeit sowie die Pflicht zu angemessenen Sicherheitsmaßnahmen. Weder existierten funktionierende Archivierungs- und Kontrollsysteme, noch gab es adäquate technische und organisatorische Schutzvorkehrungen. Zudem verstieß die HSE gegen das Gebot der Speicherbegrenzung, indem sie Personenbezogene Daten weit über den erforderlichen Zeitraum hinaus aufbewahrte. Erschwerend kam hinzu, dass die Meldefristen von 72 Stunden bei Datenpannen gegenüber der DPC verletzt wurden und die betroffenen Patientinnen und Patienten gar nicht über den Abfluss ihrer Daten informiert wurden.

Das Bußgeld setzt sich aus mehreren Teilbeträgen zusammen: Jeweils 300.000 Euro entfallen auf die Mängel bei den Sicherheitsvorkehrungen sowie auf die Überschreitung der Aufbewahrungsfristen. Weitere 30.000 Euro wurden wegen der verspäteten Meldung der Datenpannen fällig, und 15.000 Euro kostete die unterlassene Benachrichtigung der Betroffenen. Bei der Bemessung der Strafe wertete die DPC die Tatsache als erschwerend, dass der Gesundheitsdienst in der Vergangenheit bereits ähnliche Pflichtverletzungen beim Schutz analoger Patientenakten begangen hatte.

Neben der Geldstrafe muss der HSE nun Reformen umsetzen. Die DPC ordnete eine vollständige Überprüfung aller Lagerstätten an. Nicht zweckmäßige Standorte müssen umgehend geräumt und die Akten in sichere Archive überführt werden. Nicht mehr benötigte Dokumente sind sofort vernichten zu lassen. Ferner ist der HSE angewiesen, ein lückenloses System zur Rückverfolgung aller Papierakten zu etablieren und ihre Aufbewahrungspraktiken künftig regelmäßig auf Regelkonformität zu testen.

Stefan Krempl

Vorratsdatenspeicherung: EuGH-Generalanwalt erteilt belgischem Sonderweg eine Absage

Generalanwalt Maciej Szpunar sieht das neue belgische Gesetz zum Protokollieren von Nutzerspuren im Widerspruch zum EU-Recht. Anbieter dürften keine eigenständigen Vorratsdatenspeicherungen zur Betrugsbekämpfung durchführen.

Die juristische Auseinandersetzung über die Speicherung von Verbindungs- und Standordaten geht in eine neue Runde. In seinen aktuellen Schlussanträgen vor dem Europäischen Gerichtshof (EuGH) nimmt Generalanwalt Maciej Szpunar die jüngste Gesetzgebung Belgiens unter die Lupe. Das Urteil des EuGH wird mit Spannung erwartet, da die Empfehlungen des Generalanwalts zwar nicht bindend sind, den Luxemburger Richtern in der Praxis aber sehr häufig als Leitfaden für ihre spätere Entscheidung dienen. Szpunar stellt klar, dass auch der jüngste Anlauf des belgischen Gesetzgebers nicht mit dem EU-Recht vereinbar sein dürfte.

Der belgische Sonderweg im Visier der Justiz

Der Ausgangspunkt des Verfahrens liegt im Jahr 2022. Nach einer vorangegangenen Klage und der Aufhebung älterer Bestimmungen erließ Belgien eine neue gesetzliche Grundlage für den Telekommunikationssektor. Das erklärte Ziel der Brüsseler Politik war es, Betreiber von Kommunikationsdiensten zur Speicherung bestimmter Identifizierungs- und Metadaten zu verpflichten. Damit sollten Betrug, missbräuchliche Netznutzung und Angriffe auf die IT-Sicherheit bekämpft werden.

Gegen dieses Regelwerk zogen mehrere Bürgerrechtsorganisationen und Anwaltsvereinigungen vor den belgischen Verfassungsgerichtshof. Die Kläger sahen in der Pflicht zur Vorhaltung von Verkehrs- und Standortdaten einen unzulässigen Eingriff in die Grundrechte. Der Verfassungsgerichtshof setzte das Verfahren daraufhin aus und legte dem EuGH mehrere Fragen zur Auslegung der europäischen Datenschutzrichtlinie für elektronische Kommunikation im Lichte der EU-Grundrechtecharta vor.

Strenge Grenzen für Eingriffe in die Privatsphäre

In seinem Plädoyer betont der Generalanwalt die fundamentale Bedeutung des Schutzes personenbezogener Daten und des Rechts auf Achtung des Privatlebens. Wenn der Staat oder Telefondienste Daten über Kommunikationsverbindungen und Standorte speichern, stellt dies einen erheblichen Eingriff in die Privatsphäre dar. Nach gefestigter europäischen Rechtsprechung ist ein solcher Schritt nur unter außerordentlich strengen Voraussetzungen denkbar: Er muss gesetzlich klar verankert, strikt erforderlich und verhältnismäßig sein.

Szpunar greift in seiner Begründung die jüngere EuGH-Rechtsprechung auf. Diese erlaubt unter gewissen Umständen eine feinere Abstufung bei der Beurteilung, wie schwer ein Eingriff wiegt – etwa wenn es um Straftaten geht, die ausschließlich online begangen werden. Unter sehr speziellen Voraussetzungen kann demnach eine verdachtsunabhängige Speicherung von Verkehrs- und Standortdaten zulässig sein. Doch der Generalanwalt formuliert dafür eine entscheidende Hürde: Die Daten müssen technisch so getrennt gespeichert werden, dass eine Zusammenführung während des gesamten Aufbewahrungszeitraums ausgeschlossen ist. Nur wenn verhindert wird, dass Behörden oder Anbieter genaue Rückschlüsse auf das Privatleben der Nutzer ziehen können, bleibt das Maß des absolut Notwendigen gewahrt.

Belgische Regelung schießt deutlich über das Ziel hinaus

Bei der Anwendung dieser Kriterien auf das umstrittene belgische Gesetz stellt Szpunar erhebliche Mängel fest. Das nationale Recht erlaubt die Aufbewahrung eines extrem breiten Datensatzes über Verkehrs- und Standortdaten. Vorgaben für technische Schutzmaßnahmen, die eine verlässliche Kategorientrennung erzwingen würden, fehlen im Gesetzestext hingegen. Der damit verbundene Grundrechtseingriff überschreitet laut dem Gutachter das zur Erreichung der Sicherheitsziele erforderliche Maß deutlich.

Besonders kritisch bewertet der Generalanwalt die Rolle, die das Gesetz den Telefondiensten und Netzanbietern zuweist. Mehrere zentrale Aspekte der Datenspeicherung wurden schlicht in das Ermessen der Telekommunikationsanbieter gelegt. So sieht das belgische Recht vor, dass Unternehmen in Eigenregie entscheiden können, welche Daten sie für notwendig halten, und bei Bedarf sogar die Speicherfristen eigenmächtig verlängern dürfen. Szpunar stellt fest, dass es einer solchen Konstruktion an der nötigen Klarheit und Präzision fehlt. Gesetzliche Garantien, die das EU-Recht zum Schutz der Bürger verlangt, werden damit übergangen. Die Regelung verstoße folglich gegen den Verhältnismäßigkeitsgrundsatz.

Keine nachträgliche Heilung durch nationale Gerichte

Abschließend erteilt der Generalanwalt auch Versuchen eine Absage, die Rechtsfolgen eines unionsrechtswidrigen Gesetzes vorübergehend aufrechtzuerhalten. Das belgische Gericht hatte gefragt, ob unberechtigt gespeicherte Daten im Sinne der Rechtssicherheit vorerst weiter verwendet werden dürften. Szpunar erinnert daran, dass ausschließlich der EuGH in Ausnahmefällen die zeitlichen Wirkungen einer Urteilsauslegung beschränken darf. Einem nationalen Gericht sei es untersagt, mit dem EU-Recht unvereinbare Regelungen vorläufig in Kraft zu belassen.

Mit den Schlussanträgen liegt der Ball nun beim Richterkollegium des Europäischen Gerichtshofs, das in den kommenden Monaten sein Urteil fällen wird.

Stefan Krempl