Vorratsdatenspeicherung: EuGH-Generalanwalt erteilt belgischem Sonderweg eine Absage

Generalanwalt Maciej Szpunar sieht das neue belgische Gesetz zum Protokollieren von Nutzerspuren im Widerspruch zum EU-Recht. Anbieter dürften keine eigenständigen Vorratsdatenspeicherungen zur Betrugsbekämpfung durchführen.

Die juristische Auseinandersetzung über die Speicherung von Verbindungs- und Standordaten geht in eine neue Runde. In seinen aktuellen Schlussanträgen vor dem Europäischen Gerichtshof (EuGH) nimmt Generalanwalt Maciej Szpunar die jüngste Gesetzgebung Belgiens unter die Lupe. Das Urteil des EuGH wird mit Spannung erwartet, da die Empfehlungen des Generalanwalts zwar nicht bindend sind, den Luxemburger Richtern in der Praxis aber sehr häufig als Leitfaden für ihre spätere Entscheidung dienen. Szpunar stellt klar, dass auch der jüngste Anlauf des belgischen Gesetzgebers nicht mit dem EU-Recht vereinbar sein dürfte.

Der belgische Sonderweg im Visier der Justiz

Der Ausgangspunkt des Verfahrens liegt im Jahr 2022. Nach einer vorangegangenen Klage und der Aufhebung älterer Bestimmungen erließ Belgien eine neue gesetzliche Grundlage für den Telekommunikationssektor. Das erklärte Ziel der Brüsseler Politik war es, Betreiber von Kommunikationsdiensten zur Speicherung bestimmter Identifizierungs- und Metadaten zu verpflichten. Damit sollten Betrug, missbräuchliche Netznutzung und Angriffe auf die IT-Sicherheit bekämpft werden.

Gegen dieses Regelwerk zogen mehrere Bürgerrechtsorganisationen und Anwaltsvereinigungen vor den belgischen Verfassungsgerichtshof. Die Kläger sahen in der Pflicht zur Vorhaltung von Verkehrs- und Standortdaten einen unzulässigen Eingriff in die Grundrechte. Der Verfassungsgerichtshof setzte das Verfahren daraufhin aus und legte dem EuGH mehrere Fragen zur Auslegung der europäischen Datenschutzrichtlinie für elektronische Kommunikation im Lichte der EU-Grundrechtecharta vor.

Strenge Grenzen für Eingriffe in die Privatsphäre

In seinem Plädoyer betont der Generalanwalt die fundamentale Bedeutung des Schutzes personenbezogener Daten und des Rechts auf Achtung des Privatlebens. Wenn der Staat oder Telefondienste Daten über Kommunikationsverbindungen und Standorte speichern, stellt dies einen erheblichen Eingriff in die Privatsphäre dar. Nach gefestigter europäischen Rechtsprechung ist ein solcher Schritt nur unter außerordentlich strengen Voraussetzungen denkbar: Er muss gesetzlich klar verankert, strikt erforderlich und verhältnismäßig sein.

Szpunar greift in seiner Begründung die jüngere EuGH-Rechtsprechung auf. Diese erlaubt unter gewissen Umständen eine feinere Abstufung bei der Beurteilung, wie schwer ein Eingriff wiegt – etwa wenn es um Straftaten geht, die ausschließlich online begangen werden. Unter sehr speziellen Voraussetzungen kann demnach eine verdachtsunabhängige Speicherung von Verkehrs- und Standortdaten zulässig sein. Doch der Generalanwalt formuliert dafür eine entscheidende Hürde: Die Daten müssen technisch so getrennt gespeichert werden, dass eine Zusammenführung während des gesamten Aufbewahrungszeitraums ausgeschlossen ist. Nur wenn verhindert wird, dass Behörden oder Anbieter genaue Rückschlüsse auf das Privatleben der Nutzer ziehen können, bleibt das Maß des absolut Notwendigen gewahrt.

Belgische Regelung schießt deutlich über das Ziel hinaus

Bei der Anwendung dieser Kriterien auf das umstrittene belgische Gesetz stellt Szpunar erhebliche Mängel fest. Das nationale Recht erlaubt die Aufbewahrung eines extrem breiten Datensatzes über Verkehrs- und Standortdaten. Vorgaben für technische Schutzmaßnahmen, die eine verlässliche Kategorientrennung erzwingen würden, fehlen im Gesetzestext hingegen. Der damit verbundene Grundrechtseingriff überschreitet laut dem Gutachter das zur Erreichung der Sicherheitsziele erforderliche Maß deutlich.

Besonders kritisch bewertet der Generalanwalt die Rolle, die das Gesetz den Telefondiensten und Netzanbietern zuweist. Mehrere zentrale Aspekte der Datenspeicherung wurden schlicht in das Ermessen der Telekommunikationsanbieter gelegt. So sieht das belgische Recht vor, dass Unternehmen in Eigenregie entscheiden können, welche Daten sie für notwendig halten, und bei Bedarf sogar die Speicherfristen eigenmächtig verlängern dürfen. Szpunar stellt fest, dass es einer solchen Konstruktion an der nötigen Klarheit und Präzision fehlt. Gesetzliche Garantien, die das EU-Recht zum Schutz der Bürger verlangt, werden damit übergangen. Die Regelung verstoße folglich gegen den Verhältnismäßigkeitsgrundsatz.

Keine nachträgliche Heilung durch nationale Gerichte

Abschließend erteilt der Generalanwalt auch Versuchen eine Absage, die Rechtsfolgen eines unionsrechtswidrigen Gesetzes vorübergehend aufrechtzuerhalten. Das belgische Gericht hatte gefragt, ob unberechtigt gespeicherte Daten im Sinne der Rechtssicherheit vorerst weiter verwendet werden dürften. Szpunar erinnert daran, dass ausschließlich der EuGH in Ausnahmefällen die zeitlichen Wirkungen einer Urteilsauslegung beschränken darf. Einem nationalen Gericht sei es untersagt, mit dem EU-Recht unvereinbare Regelungen vorläufig in Kraft zu belassen.

Mit den Schlussanträgen liegt der Ball nun beim Richterkollegium des Europäischen Gerichtshofs, das in den kommenden Monaten sein Urteil fällen wird.

Stefan Krempl

Große KI-Modelle im Datenschutz-Check: Gemini und Copilot fallen durch

Ein Datenschutz-Vergleich von 13 führenden KI-Plattformen bescheinigt den Branchengrößen mangelnde Transparenz und gierigen Umgang mit Nutzerdaten. Vibe und ChatGPT belegen die vordersten Plätze.

Immer mehr Menschen vertrauen KI-Chatbots hochsensible Informationen an – von geschäftlichen Interna bis hin zu persönlichen Sorgen. Doch der Schutz dieser Eingaben unterscheidet sich je nach Anbieter gewaltig. Eine Untersuchung des Datenschutzdienstes Incogni zeigt: Gerade die prominentesten Plattformen schneiden beim Datenschutz erschreckend schlecht ab. Für die Studie analysierten die Forscher 13 Systeme wie ChatGPT, Claude, Gemini, Grok, Vibe (ehemals Le Chat), Perplexity, Qwen, DeepSeek, Z.ai, Kimi, Meta AI, Pi und Copilot. Anhand von elf gewichteten Kriterien aus den Bereichen Datenverarbeitung, Transparenz sowie Datenerhebung und -weitergabe ermittelten die Experten ein Risiko-Ranking.

Das Ergebnis verweist auf ein deutliches Gefälle im Markt. Die größten Datenschutzrisiken gehen ausgerechnet von den Angeboten der IT-Schwergewichte aus. Microsoft Copilot, Meta AI sowie der chinesische Bot Kimi von Moonshot AI belegen die schlechtesten Plätze im Testfeld. Hauptgrund für das miese Abschneiden von Copilot und Meta AI sind die extrem weit gefassten Datenschutzbestimmungen der Mutterkonzerne.

Statt klar verständliche Regeln für die KI-Dienste bereitzustellen, gelten oft die allgemeinen Richtlinien des gesamten Ökosystems. Dadurch bleibt für Nutzer unklar, welche Daten exklusiv für den Chatbot erfasst oder womöglich mit Datenhändlern und Werbenetzwerken verknüpft werden. Überdies sammeln die iOS-Apps von Gemini und Meta AI laut App-Store-Angaben besonders sensible Daten wie ethnische Herkunft, sexuelle Orientierung, religiöse Überzeugungen oder politische Ansichten.

Ganz anders präsentiert sich der Spitzenreiter des Rankings. Das französische Modell Vibe von Mistral AI erzielt den niedrigsten Risikowert und sichert sich damit den Titel der datenschutzfreundlichsten Plattform. Die Anwendung überzeugt durch eine sparsame Weitergabe von Eingaben an Dritte sowie eine der datensparsamsten mobilen Apps im gesamten Feld. Direkt dahinter landet der Marktführer ChatGPT von OpenAI auf dem zweiten Platz. OpenAI punktet vor allem in der Kategorie Transparenz und bietet die mit Abstand verständlichste Datenschutzerklärung. Dank ausführlicher Hilfeseiten erfahren Nutzer hier am ehesten, was mit ihren Dialogen geschieht.

Trotz der guten Ränge für Vibe und ChatGPT offenbart die Untersuchung eine grundlegende Schwachstelle der gesamten Branche: Keines der untersuchten Unternehmen legt offen, aus welchen konkreten Datensätzen die Basismodelle ursprünglich trainiert wurden. Die Beschreibungen verharren durchweg in vagen Formulierungen wie „öffentlich zugängliche Informationen“, „private Datensätze“ oder „Social-Media-Daten“. Was genau im Trainingsmaterial landete, bleibt für Außenstehende unüberprüfbar.

Gravierend ist dieser Umstand beim nachträglichen Schutz der eigenen Privatsphäre. Zwar bieten die meisten Plattformen wie ChatGPT, Claude, Vibe, Copilot oder Grok in den Einstellungen einen einfachen Schalter, um künftige Unterhaltungen vom Modelltraining auszunehmen. Doch diese Opt-out-Optionen wirken ausschließlich in die Zukunft. Keine einzige Plattform ermöglicht es Nutzern, einmal verarbeitete Daten wieder aus einem trainierten KI-Modell entfernen zu lassen. Wurden vertrauliche Details erst einmal von den neuronalen Netzen absorbiert, sind sie dort dauerhaft verankert.

Die Experten warnen daher eindringlich davor, Chatbots als digitale Beichtstühle zu missbrauchen. Wer intime Details oder Unternehmensgeheimnisse in ein Eingabefeld tippt, läuft Gefahr, dass diese Informationen dauerhaft in den Gewichtungen des Modells verbleiben und womöglich künftige Antworten für andere Personen beeinflussen.

Zudem erschweren einige Anbieter den Widerspruch ereblich. Bei Googles Gemini ist die Deaktivierung des Trainings an die übergreifende Aktivitätshistorie gekoppelt. Wer das Lernen stoppt, verliert den Zugriff auf seinen bisherigen Chat-Verlauf. Bei Meta AI bleibt in den Richtlinien unklar, wie Nutzer überhaupt widersprechen können. Moonshot AI und Qwen reagieren erst auf E-Mail-Anfragen oder Formulare. Z.ai bietet nicht einmal eine funktionierende Opt-out-Option fürs Modelltraining. Wer KI-Tools nutzt, muss sich so in der Regel weiterhin selbst durch komplexe Menüs kämpfen, da die Anbieter die Verantwortung weitgehend auf ihre Kundschaft abwälzen.

Stefan Krempl

Neue Wege bei Polizeisoftware: Hessen erwägt Abschied von Palantir

Möglicher Kurswechsel in Wiesbaden: Nach knapp zehn Jahren könnte Hessen die Kooperation mit Palantir beenden und auf europäische Alternativen setzen.

Nach fast einem Jahrzehnt intensiver Nutzung steht die hessische Polizei möglicherweise vor einer grundlegenden Wende bei ihrer digitalen Ermittlungsarbeit. Das Land erwägt, die Zusammenarbeit mit dem US-amerikanischen Softwareunternehmen Palantir auslaufen zu lassen und das umstrittene Analysewerkzeug HessenData durch eine europäische Lösung zu ersetzen. Was 2017 als hochmoderne Innovation zur Verbrechensbekämpfung begann, entwickelte sich über die Jahre zu einem dauerhaften politischen wie datenschutzrechtlichen Streitfall. Nun laufen die aktuellen Verträge nach Recherchen der Frankfurter Rundschau bereits im kommenden Jahr aus. Im politischen Wiesbaden verdichten sich parallel die Anzeichen für einen strategischen Neuanfang.

Die Software HessenData versetzt Polizeibehörden in die Lage, innerhalb von Sekunden gewaltige Datenmengen zu durchforsten. Das System verknüpft Informationen aus unterschiedlichen polizeilichen Datenbanken, analysiert Fahndungslisten und stellt komplexe Querverbindungen zwischen Personen her. Trotz dieser Leistungsfähigkeit stand der Einsatz von Beginn an unter starker Kritik. Neben Bedenken hinsichtlich des Datenschutzes stießen vor allem die Gründer des US-Konzerns auf Ablehnung. Insbesondere der rechtslibertäre US-Investor Peter Thiel, der sich wiederholt antidemokratisch geäußert hat, sowie Palantir-Chef Alex Karp gerieten immer wieder ins Visier von Gegnern.

In den vergangenen Monaten hat sich die Haltung der hessischen Landesregierung wahrnehmbar verändert. Hessens Innenminister Roman Poseck (CDU) hatte sich zwar noch im Herbst 2024 begeistert von den analytischen Möglichkeiten des Programms gezeigt. Er deutete aber bereits im Landtag an, dass er einer Alternative aufgeschlossen gegenüberstehe. Voraussetzung sei, dass ein anderes Produkt eine vergleichbare Effektivität und Verlässlichkeit bieten könne. Während eine solche Lösung lange Zeit als kaum verfügbar galt, schlägt der Innenminister inzwischen deutlich optimistischere Töne an. Auf Anfrage teilte Poseck mit, er sei sehr offen dafür, nach Ablauf des Vertrages ein europäisches System zum Einsatz zu bringen. Mittlerweile existierten sowohl auf nationaler als auch auf europäischer Ebene zahlreiche vielversprechende Entwicklungen, die Palantir das Wasser reichen könnten.

Diese Neuausrichtung fügt sich in eine breitere politische Debatte ein. Innerhalb der Innenministerkonferenz herrscht weitgehende Einigkeit darüber, dass Bund und Länder im Bereich der hochsensiblen Sicherheitstechnik eine größere Unabhängigkeit von außereuropäischen Staaten anstreben müssten. Die digitale Souveränität Europas hat in den vergangenen Jahren an strategischer Bedeutung gewonnen. Dies zeigt sich auch auf Bundesebene, wo die Regierung derzeit offenbar Abstand von ursprünglichen Plänen nimmt, Palantir-Software für das Bundeskriminalamt und die Bundespolizei zu beschaffen. Zudem erhöht die politische Konstellation in Hessen den Handlungsdruck: Für den Koalitionspartner SPD, der die Kooperation bereits im Jahr 2017 scharf kritisiert hatte, wäre eine erneute Vertragsverlängerung mit dem US-Anbieter politisch kaum vermittelbar.

Auch die Landtagsopposition verfolgt die Signale aus dem Innenministerium aufmerksam. Vertreter der Grünen und der FDP begrüßen einen potenziellen Ausstieg ausdrücklich. Zwar erkennen sie den funktionalen Nutzen einer übergreifenden Datenanalyse für die Polizeiarbeit an. Die Herkunft der eingesetzten Technologie dürfe aber nicht egal sein. Neben den Vorbehalten gegenüber den Positionen der Firmengründer wiegt vor allem die Sorge vor einem möglichen Abfluss hochsensibler Daten in die USA schwer. Die Liberalen fordern daher einen strukturierten Dialog mit deutschen und europäischen Softwareunternehmen. Parallel wächst auch in anderen Bundesländern der Druck auf Koalitionen, wie Beschlüsse bei den Grünen in Nordrhein-Westfalen zeigen, die weit über die eigenen Landesgrenzen hinausstrahlen.

Schufa-Umstellung verunsichert: Warum der neue Score oft schlechter wirkt

Die Schufa verspricht mit ihrem neuen Punktsystem mehr Transparenz. Doch bei Verbraucherschützern häufen sich Beschwerden über scheinbar verschlechterte Bonitätswerte.

Die Schufa hat im März ihr neues Scoring-Modell eingeführt. Mit dem Systemwechsel sollte die Bewertung der Kreditwürdigkeit verständlicher und transparenter gestaltet werden. Doch in der Praxis sorgt der Schritt für erhebliche Unruhe. Bei der Verbraucherzentrale Niedersachsen gehen laufend Beschwerden von Verbrauchern ein, deren Bonitätsbewertung mit dem neuen Score plötzlich schlechter ausfällt als zuvor – und das ganz ohne negatives Zahlungsverhalten. Die Folgen der unerwarteten Abwertung sind Verunsicherung, Unverständnis sowie die konkrete Sorge vor Nachteilen beim Abschluss von Krediten, Miet- oder Mobilfunkverträgen.

Dass der Score sinkt, obwohl sich am eigenen Finanzgebaren nichts geändert hat, trifft viele unvorbereitet. Verbraucher sehen auf einmal einen niedrigeren Wert und befürchten unmittelbare Konsequenzen bei der Wohnungssuche oder bei Kreditverträgen, erläutert Kathrin Bartsch, Rechtsexpertin der Verbraucherzentrale Niedersachsen. Dabei sei es zunächst wichtig zu verstehen, dass das neue Punktesystem nicht direkt mit den früheren Werten vergleichbar sei. Früher habe die Auskunftei die Wahrscheinlichkeit für einen Zahlungsausfall in Prozent ausgewiesen. Nun erfolge die Einstufung auf einer Punkte-Skala von 100 bis 999. Durch diese mathematische Neuordnung könnten Ränge auf den ersten Blick schlechter wirken, als sie in Wahrheit sind. So bedeute etwa bereits ein Wert ab 776 Punkten das Erreichen der bestmöglichen Kategorie „hervorragend“.

Ein wesentlicher Teil der aktuellen Irritationen resultiert nach Einschätzung der Verbraucherschützer paradoxerweise aus der gewachsenen Transparenz des Systems. Das überarbeitete Modell legt erstmals offen, dass nicht nur konkrete Ausfälle das Resultat prägen. Ebenso fließen statistische Kennzahlen wie die Dauer bestehender Bankverbindungen, neu geschlossene Kreditkartenverträge, vereinbarte Ratenzahlungen oder die Wohndauer an der aktuellen Adresse in die Berechnung ein.

Diese Faktoren flossen zwar auch in der Vergangenheit in die Algorithmen ein. Doch erst jetzt sind die Kriterien und ihre jeweilige Gewichtung klar einsehbar und damit hinterfragbar. Das Nachsehen haben dabei oft jüngere Menschen: Da sie naturgemäß weder ein jahrzehntealtes Girokonto noch eine lange Historie an einer Wohnadresse vorweisen können, starten sie mit vergleichsweise niedrigen Scores.

Grund zur Panik besteht laut den Verbraucherschützern nicht. Der Schufa-Score sei lediglich ein Baustein im Gesamtbild und dürfe nach den Vorgaben des Gesetzgebers sowie der Rechtsprechung des Europäischen Gerichtshofs (EuGH) nicht das allein maßgebliche Kriterium für eine Kreditentscheidung sein. Banken und Dienstleister griffen in der Regel auch auf eigene interne Bewertungsmodelle zurück, um Ausfallrisiken individuell einzuschätzen.

Neben den methodischen Hürden des neuen Systems bleibt ein Grundproblem: Bei den Verbraucherzentralen gehen weiterhin zahlreiche Hinweise auf veraltete oder schlicht falsche Datensätze ein, die bei der Auskunftei gespeichert seien. Solche Fehler könnten die Bonitätsbewertung drücken. Experten raten deshalb dazu, die eigene Schufa-Bewertung regelmäßig zu überprüfen und das Recht auf die kostenlose Datenkopie nach der DSGVO zu nutzen. Werden fehlerhafte oder überholte Einträge entdeckt, sollten diese umgehend bei der Schufa reklamiert werden. Ferner gilt: Auf postalische Inkassoforderungen sollte stets reagiert werden – selbst wenn diese unberechtigt erscheinen –, um vorschnelle negative Einträge zu verhindern.

Über die Sichtweise der Verbraucherzentrale hinaus steht das Scoring der Schufa seit Langem unter juristischem und rechtspolitischem Druck. Trotz der Reduzierung der Bewertungsfaktoren bemängeln Datenschutzexperten, dass die exakte mathematische Gewichtung und Logik des Algorithmus für Außenstehende weiterhin schwer zu durchschauen bleibt.

Bereits Ende 2023 stufte der EuGH das automatifizierte Scoring als unzulässig ein, sofern Vertragspartner ihre Entscheidungen weitgehend isoliert darauf stützen. Weitere Gerichtsentscheidungen verpflichten die Auskunfteien zur Preisgabe detaillierterer Informationen darüber, wie einzelne persönliche Merkmale den individuellen Score beeinflussen. Auch der Umgang mit Positivdaten – etwa Informationen über vertragstreu bediente Verträge – bleibt umstritten, da deren umfassende Speicherung von Kritikern als ausufernde Profilbildung bewertet wird. Das neue System bringt zwar mehr Nachvollziehbarkeit, die Grundsatzdebatte über Macht und Methoden der Bonitätswächter ist damit aber nicht zu Ende.

Stefan Krempl

Wiesbaden wagt das Experiment: Ein KI-Avatar soll Bürger im Amt empfangen

Die hessische Landeshauptstadt schreibt als erste deutsche Kommune einen KI-Avatar für den Schalterdienst aus – unter strengen Auflagen und mit knappem Budget.

Die Verwaltung digitalisieren, Wartezeiten verkürzen und gleichzeitig das Personal entlasten: Ein Versprechen, an dem sich deutsche Kommunen seit Jahren versuchen. Wiesbaden schlägt nun einen Weg ein, der in deutschen Rathäusern bislang ohne Vorbild ist. Wie aus einer aktuellen Ausschreibung im EU-Auschreibungsportal hervorgeht, sucht die hessische Landeshauptstadt nach Auftragnehmern für die Beschaffung, Implementierung und den Betrieb eines sprachgestützten Chat-Avatars samt KI-gestützter Chatbot-Lösung.

Das System soll demnach direkt vor Ort an stark frequentierten Anlaufstellen eingesetzt werden – etwa im Bürgerbüro, im Rathaus, in der Touristeninformation oder an einem Gesundheitskiosk. Es richtet sich explizit auch an digitalferne Bürger, denen über eine barrierearme, intuitive Sprachinteraktion der Zugang zu Verwaltungsdienstleistungen erleichtert werden soll. Zugleich fängt das Dialogsystem dem Plan nach Routinefragen ab, um die Mitarbeitenden im Bürgerservice spürbar zu entlasten.

Erster Schalter-Avatar einer deutschen Kommune

Text-Chatbots sind auf kommunalen Websites mittlerweile verbreitet. Die Beschaffung eines KI-Avatars mit physischem Terminalbezug auf Schalterebene ein Novum. Marktbeobachter werten die Ausschreibung als erste ihrer Art bei einer deutschen Gemeinde. Bislang trat ihnen zufolge im öffentlichen Sektor lediglich die Techniker Krankenkasse (TK) im Juni dieses Jahres als Käufer einer vergleichbaren Avatar-Lösung in Erscheinung. Wiesbaden dürfte damit eine Vorreiterrolle im kommunalen Sektor übernehmen.

Sicherheit und Datenschutz als K.o.-Kriterium

Dass Verwaltungs-KI auf besondere Skepsis trifft, ist den Verantwortlichen bewusst. Die Ausschreibung formuliert strenge Anforderungen an Datenschutz und IT-Sicherheit. So verlangt die Stadt zwingend ein gültiges BSI-C5-Testat für die eingesetzten Rechenzentren sowie eine Zertifizierung nach ISO 27001. Ein Zertifikat nach ISO/IEC 27018 zum Schutz personenbezogener Daten in Cloud-Umgebungen bringt Bietern Extrapunkte im Wertungsverfahren ein.

Besonders strikt zeigt sich die Kommune beim Daten-Handling: Personenbezogene Daten dürfen weitgehend gar nicht erst verarbeitet werden. Wenn eine solche unerlässlich ist, muss sie nach den Grundsätzen Privacy by Design und Privacy by Default erfolgen. Eine Weiterverwendung von Bürgerdaten für das Training von KI-Modellen wird in den Unterlagen ausdrücklich untersagt. Ergänzend müssen Bieter Schutzmechanismen gegen Prompt Injection und Halluzinationen sowie ein Moderationskonzept nachweisen. Die Barrierefreiheit geht ebenfalls als gewichtetes Kriterium in die Bewertung ein.

265.000 Euro für fünf Jahre: Ist die Summe angemessen?

Der geschätzte Auftragswert beläuft sich auf 265.000 Euro netto bei einer Vertragslaufzeit von 60 Monaten, die optional um zwei Jahre verlängert werden kann. Umgerechnet entspricht das einem Budget von etwa 53.000 Euro pro Jahr.

Dieser Etat scheint im Kontext der geforderten Leistungen knapp kalkuliert. Zwar klingt eine Viertelmillion Euro nach einer ziemlichen Stange Geld, doch das Anforderungsprofil ist komplex. Neben Hardware vor Ort und der Entwicklung einer visuellen Avatar-Oberfläche umfasst der Auftrag ein technisches Integrationskonzept. Der Avatar muss über offene Schnittstellen flexibel an bestehende Chatbot-Systeme sowie Wissensdatenbanken der Stadt angebunden werden.

Zieht man zudem den erheblichen Compliance-Aufwand ab, bleibt für Entwicklung, Wartung der Terminals und den Fünf-Jahres-Betrieb ein eher schmales Budget. Für etablierte Systemhäuser dürfte das Projekt finanziell an der Schmerzgrenze liegen; Chancen bieten sich vor allem spezialisierten Startups, die auf bestehende Bausteine zurückgreifen und eine Referenz im öffentlichen Sektor suchen. Interessierte Firmen können bis zum 4. September 2026 Angebote einreichen.

Stefan Krempl

Datenschutz-Beschwerde gegen dict.cc: Über 170 Stunden Lesezeit für ein Cookie-Banner

Einwilligungen im Netz sind oft eine Illusion: dict.cc verlangt die Zustimmung für 1741 Partner. Noyb hat Beschwerde bei der Datenschutzbehörde eingelegt.

Wer im Internet nach einer Übersetzung sucht, erwartet ein schnelles Ergebnis und keine juristische Mammutaufgabe. Beim Aufrufen des populären Online-Wörterbuchs dict.cc werden Nutzer aber vor eine Entscheidung gestellt, die in der Praxis kaum realistisch zu bewältigen ist. Über ein Pop-up-Banner verlangt die Betreiberin die Zustimmung zur Speicherung und Verarbeitung personenbezogener Daten für Online-Werbung. Das Besondere daran ist der Umfang: Insgesamt 1741 Werbepartner und Dienstleister sollen Zugriff auf das Endgerät sowie die Surfaktivitäten der Betroffenen erhalten.

Die Wiener Datenschutzorganisation Noyb bewertet diese Praxis als klaren Verstoß gegen die Datenschutz-Grundverordnung (DSGVO). Nach Ansicht der Juristen ist eine wirksame und informierte Einwilligung unter diesen Bedingungen schlicht unmöglich. Selbst bei einer extrem optimistischen Kalkulation von lediglich sechs Minuten Lese- und Verstehenszeit pro Datenschutzerklärung summiert sich der Aufwand für ein einziges Cookie-Banner auf über 172 Stunden.

Um die Konsequenzen eines einzigen Klicks auf „Alle akzeptieren“ vollständig zu durchdringen, müssten Verbraucher so mehr als eine ganze Woche ununterbrochen juristische Fachtexte studieren. In der Realität dauern manche Erklärungen einzelner Partner bereits für sich genommen mehr als eine halbe Stunde. Dazu kommt, dass viele dieser Drittanbieter die Daten wiederum an eigene Netzwerke weiterreichen, womit die Kette der Datenempfänger rasch in die Hunderte von Tausenden geht.

Nach der DSGVO ist das Tracking von Nutzerprofilen und Surfverhalten ohne eine freiwillige, spezifische, unmissverständliche und eben informierte Einwilligung grundsätzlich verboten. Wenn Informationen intransparent aufbereitet sind oder der Umfang den Rahmen des Verstandes sprengt, verkommt die Kontrolle über die eigenen Daten zur reinen Illusion. Noyb-Jurist Felix Mikolasch betont, wie abwegig die bisherige Praxis ist: Es sei lächerlich anzunehmen, dass jemand auf dieser Grundlage eine informierte Entscheidung treffen könnte.

In der eingereichten Beschwerde fordert Noyb die österreichische Datenschutzbehörde auf, der unrechtmäßigen Datenverarbeitung ein Ende zu setzen. Das Online-Wörterbuch soll angewiesen werden, die betroffenen Daten unverzüglich zu löschen und sämtliche Empfänger darüber zu informieren. Ferner regt die Organisation das Verhängen einer wirksamen Geldbuße an, um eine abschreckende Wirkung für die gesamte Branche zu erzielen. Über den konkreten Fall hinaus könnte die Aufsichtsbehörde wegen der grundsätzlichen Bedeutung auch ein umfassenderes Verbot aussprechen oder die Angelegenheit zur Stellungnahme an den Europäischen Datenschutzausschuss (EDSA) weiterleiten.

dict.cc steht mit dieser Vorgehensweise keineswegs allein da. Invasive Tracking-Mechanismen und undurchsichtige Banner-Systeme gehören auf zahlreichen namhaften Informations- und Medienportalen zum Alltag. Die erhobenen Verhaltens- und Standortdaten dienen nicht nur der Personalisierung von Werbeanzeigen, sondern gelangen häufig über Datenbroker an Dritte oder sogar an staatliche Überwachungsbehörden.

Stefan Krempl

Digital-Omnibus: Wie das EU-Parlament beim Datenschutz nachbessern will

Mit dem Digital-Omnibus will die EU-Kommission das EU-Digitalrecht vereinfachen. Zwei Ausschüsse des EU-Parlaments wehren sich gegen die Beschneidung von Bürgerrechten.

Das europäische Datenschutzrecht steht vor einer größeren Reform. Mit dem sogenannten Digital-Omnibus beabsichtigt die EU-Kommission, das Regelungsgeflecht aus DSGVO, Data Act, E-Privacy-Richtlinie und weiteren Digitalgesetzen zu entwirren, bürokratische Hürden abzubauen und Rechtsunsicherheiten für Unternehmen zu beseitigen. Was als technisches Entlastungspaket gedacht war, hat sich im EU-Parlament zu einem Schauplatz netzpolitischer Debatten entwickelt. Im Zentrum der Auseinandersetzung steht die Frage, wie sich administrative Erleichterungen realisieren lassen, ohne das europäische Datenschutzniveau auszuhöhlen. Die vorliegenden Entwürfe und Änderungsanträge aus den federführenden Parlamentsausschüssen spiegeln das Ringen um eine praxistaugliche Balance zwischen digitaler Innovationsfähigkeit und dem Schutz von Grundrechten wider.

Den Ausgangspunkt bildet der gemeinsame Berichtsentwurf des Ausschusses für Industrie, Forschung und Energie (ITRE) unter Führung von Aura Salla (EPP) sowie des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres (LIBE) unter der Federführung der Sozialdemokratin Marina Kaljurand. Dieser konsolidierte Entwurf deckt ein breites Spektrum ab – von Vereinfachungen bei Datenpannenmeldungen bis zum Schutz vor automatisierter Entscheidungsfindung. Während der Kommissionsentwurf an einigen Stellen Einschränkungen von Betroffenenrechten vorsah, setzen die Berichterstatterinnen Gegenakzente. Insbesondere beim Auskunftsrecht nach Artikel 15 DSGVO wehrt sich das Parlament gegen Versuche, diese Norm unter pauschalen Missbrauchsverdacht zu stellen.

Die Kommission wollte Anträge als exzessiv einstufen, wenn damit andere Ziele als der reine Datenschutz verfolgt werden. Die Berichterstatterinnen stellen klar, dass die Wahrnehmung von Bürgerrechten als Mittel zur Durchsetzung sonstiger rechtlicher Belange keineswegs missbräuchlich ist. Bei tatsächlich unbegründeten oder exzessiven Anträgen soll Betroffenen künftig das Wahlrecht eingeräumt werden, eine Gebühr zu zahlen oder auf die Ausführung zu verzichten.

Ein weiterer Schwerpunkt liegt auf der Verarbeitung biometrischer Daten zur Identitätsprüfung. Der Entwurf erlaubt Ausnahmen vom strikten Verarbeitungsverbot, sofern die Verifizierung für berechtigte Zwecke erforderlich ist und die Daten unter der alleinigen Kontrolle der betroffenen Person verbleiben. Die Parlamentsausschüsse betonen, diese Kontrolle bedeute, dass Nutzer effektiv selbst entscheiden könnten, wann und wie ihre biometrischen Daten verwendet werden. Unternehmen dürften technisch nicht in der Lage sein, im Klartext auf die Daten zuzugreifen oder sie außerhalb des strikten Abgleichs zu verarbeiten. Sichere Speicherorte auf dem Endgerät oder verschlüsselte Verfahren stehen im Mittelpunkt der Präzisierungen.

Auch bei der automatisierten Entscheidungsfindung nach Artikel 22 DSGVO dringt das Parlament auf Nachbesserungen. Zwar soll der Einsatz automatisierter Verfahren bei Verträgen erleichtert werden. Doch fordern die Abgeordneten ein echtes Recht auf menschliches Eingreifen. Eine bloß symbolische Durchsicht durch Mitarbeiter ohne reale Möglichkeit, ein Systemergebnis abzuändern, soll nicht ausreichen. Der menschliche Prüfer muss über die nötige Autonomie und Fachkompetenz verfügen, um Entscheidungen wirksam zu korrigieren.

Beim Bürokratieabbau rund um Datenpannen und Datenschutz-Folgenabschätzungen strebt die Kommission eine Vereinfachung an. Meldungen an Aufsichtsbehörden sollen künftig erst ab einer höheren Risikoschwelle verpflichtend sein. Um Firmen Orientierung zu bieten, soll der Europäische Datenschutzausschuss (EDSA) laut den Abgeordneten aber einheitliche Vorlagen und Kriterienlisten ausarbeiten. Sie weisen dem EDSA dabei die federführende Rolle zu und schützen dessen fachliche Unabhängigkeit gegenüber Versuchen der Kommission, die Hoheit über diese Dokumente per Durchführungsakt zu übernehmen.

Parallel zur parlamentarischen Debatte gewinnen die Verhandlungen im EU-Rat unter irischer Präsidentschaft an Dynamik. Nachdem ein Kompromissentwurf Zyperns am Widerstand mehrerer Mitgliedstaaten – darunter Deutschland, Dänemark, Italien, Polen und Schweden – gescheitert war, hat Irland die Beratungen über Cookie-Einwilligungen, Pseudonymisierung und KI-Datenverarbeitung neu aufgerollt. Auch der EDSA hat sich mit Leitlinien zur Anonymisierung zu Wort gemeldet und anerkannt, dass die Anonymität von Daten aus der Perspektive des jeweiligen Datenverarbeiters zu beurteilen ist. Wirtschaftsnahe US-Denkfabriken wie das International Center for Law & Economics (ICLE) begrüßen diesen Ansatz zwar prinzipiell. Sie drängen aber auf noch weitgehendere, rechtssichere Ausnahmen für KI-Training und Cookie-Banner. Die Abgeordneten stehen nun vor intensiven Beratungen über mehr als tausend Änderungsanträge, um die Verhandlungsposition des Parlaments für den Trilog zu schmieden.

Stefan Krempl

Baden-Württemberg: Grüne Basis verweigert Palantir Gefolgschaft

Eine Urabstimmung der Grünen bringt 92 Prozent Gegenwind für die Polizeisoftware von Palantir, doch die Regierung hält daran fest. Deutsche Firmen bieten Alternativen.

Der parteiinterne Konflikt rund um die US-amerikanische Datenanalysesoftware Palantir Gotham in Baden-Württemberg hat eine neue Eskalationsstufe erreicht. Bei einer basisdemokratischen Urabstimmung hat sich die Mitgliedschaft des grünen Landesverbands mit überwältigender Mehrheit gegen den Einsatz der umstrittenen Polizeisoftware ausgesprochen. Von den abgegebenen Stimmen entfielen knapp 92 Prozent auf ein klares Nein zum Softwareprojekt, bei einer für Parteiabstimmungen vergleichsweise hohen Wahlbeteiligung von fast 40 Prozent. Die Initiatoren der Initiative „Stoppt Palantir, sofort!“ sehen darin ein unmissverständliches Signal der Basis für Bürgerrechte, Überwachungsschutz und digitale Souveränität.

Trotz des deutlichen Votums verharrt die grün-schwarze Landesregierung auf ihrem bisherigen Kurs. Ministerpräsident Cem Özdemir (Grüne) betonte umgehend, dass der bestehende Vertrag mit dem US-Hersteller unberührt bleibe. Die Exekutive halte an der Vereinbarung fest, bis eine leistungsfähige und praxistaugliche europäische Alternative einsatzbereit sei. Zwar bleibe es das erklärte Ziel der Landesregierung, sich von Anbietern zu lösen, deren weltanschauliche Grundhaltung man nicht teile. Doch im aktuellen Betrieb sieht die Regierungsspitze vorerst keine Handlungsalternative. Ein parlamentarischer Vorstoß der Opposition im Landtag, die Implementierung kurzfristig zu stoppen, scheiterte ebenfalls im Parlament.

Die Darstellung der Exekutive, es gebe derzeit keine einsatzfähigen europäischen oder deutschen Alternativen, löst in der IT-Branche Stirnrunzeln aus. Mehrere heimische Softwareanbieter verweisen auf eigene, ausgereifte Analyseplattformen, die speziell für Behörden und Sicherheitsorgane entwickelt wurden. So bietet etwa die Firma FSZ aus Metzingen mit ihrer Plattform „Yoonite“ ein bereits einsatzbereites System an. Sie beklagt, dass entsprechende Gesprächsangebote an die Regierungsspitze und das Innenministerium bislang unbeantwortet geblieben seien. Auch das Unternehmen Almato aus Stuttgart mit „Bardioc“ sowie die Firmen nnosystec aus Salem und One Data verweisen darauf, dass ihre Plattformen bei Sicherheitsbehörden bereits erfolgreich genutzt würden und eine datenschutzkonforme Grundlage für komplexe Analysen böten.

Weiteren Zündstoff erhält die Debatte durch den bisherigen zeitlichen und finanziellen Verlauf des Projekts. Als das CDU-geführte Innenministerium im März 2025 den Fünfjahresvertrag abschloss – ohne den grünen Koalitionspartner einzubinden –, wurde die sofortige Einsatzbereitschaft als Hauptargument angeführt. Mehr als ein Jahr später ist die Software im Land indes weiterhin nicht im Regelbetrieb. Ein praktischer Wirkbetrieb wird frühestens für Ende 2026 erwartet. Kritiker verweisen darauf, dass aus der versprochenen Sofortlösung ein langwieriges und kostenintensives Unterfangen geworden sei: Die Einführung schlägt mit rund 4,25 Millionen Euro pro Jahr für Betrieb und Umsetzung zu Buche, ergänzt durch jährlich rund fünf Millionen Euro an Lizenzgebühren bis zum Vertragsende 2030.

Neben den finanziellen Aufwendungen wiegen vor allem datenschutzrechtliche und geopolitische Bedenken schwer. Datenschützer befürchten eine Aushebelung der digitalen Souveränität und warnen vor dem US Cloud Act, der US-Behörden unter Umständen Zugriff auf Daten amerikanischer Unternehmen gewährt – selbst wenn diese auf europäischen Servern gehostet werden. Parallel steht die Unternehmensführung von Palantir um Mitgründer Peter Thiel wegen antidemokratischer Äußerungen in der Kritik.

Dass es alternative Wege gibt, zeigt die Beschaffungspolitik anderer Sicherheitsbehörden: Das Bundesamt für Verfassungsschutz entschied sich kürzlich für die Analyseplattform „ArgonOS“ des französischen Anbieters ChapsVision, deren technische Anbindung bereits weit fortgeschritten ist. Während das Innenministerium in Stuttgart auf unterschiedliche Anforderungsprofile von Polizei und Nachrichtendiensten verweist, drängt die Zeit auf Bundesebene. Im Rahmen des Großprojekts P20 zur Modernisierung der Polizei-IT hat sich das zuständige Bund-Länder-Gremium einstimmig – und damit auch mit Unterstützung Baden-Württembergs – für eine bundesweite Lizenz einer Datenanalyseplattform ab Anfang 2028 ausgesprochen. Angesichts geplanter strenger Vorgaben der Datenschutzkonferenz zur Vermeidung proprietärer Blackbox-Systeme droht dem Ländle im ungünstigsten Fall die Isolierung vom gemeinsamen Datenhaus, sollte es weiterhin auf Palantir setzen.

Stefan Krempl

KI in Asyl- und Visumverfahren: Bundesregierung will Migrationsverwaltung automatisieren

Ein neues Gesetz soll Behörden entlasten und Verfahren bei Asylanträgen mit KI beschleunigen. Fachverbände wie die GI und Datenschützer warnen vor Diskriminierung und Datenschutzverstößen.

Das Bundeskabinett hat am Mittwoch den Regierungsentwurf für das sogenannte KI-Migrationsverwaltungsgesetz (KIMVG) auf den Weg gebracht. Die Vorlage, die vom Bundesinnenministerium unter Führung von Innenminister Alexander Dobrindt (CSU) erarbeitet wurde, soll den Einsatz digitaler Verfahren und Künstlicher Intelligenz in Asyl-, Visum- und Migrationsverfahren rechtlich absichern und regeln. Die Bundesregierung begründet die Initiative mit einem anhaltend hohen Antragsaufkommen sowie akuten personellen Kapazitätsgrenzen in den Behörden. Ziel sei es, durch automatisierte Datenverarbeitung und KI-Systeme die Effizienz, Qualität, Sicherheit und Einheitlichkeit ausländerrechtlicher Verfahren nachhaltig zu steigern und Sachbearbeiter zu entlasten.

Der Gesetzentwurf sieht weitreichende Befugnisse für Behörden wie das Bundesamt für Migration und Flüchtlinge (BAMF), Ausländerämter, das Bundesverwaltungsamt, die Bundespolizei und die Landespolizeibehörden vor. Diese sollen personenbezogene Daten nicht nur verarbeiten, sondern gezielt zum Entwickeln, Trainieren, Validieren und Testen von KI-Anwendungen nutzen dürfen. Der Entwurf erlaubt dazu sogar die Verarbeitung sensibler Echtdaten nach Artikel 9 der DSGVO – etwa zur ethnischen Herkunft, zu religiösen Überzeugungen oder zur sexuellen Orientierung – ohne verpflichtende Anonymisierung oder Pseudonymisierung, sofern dies den Entwicklungsaufwand übersteigen oder die Ergebnisqualität beeinträchtigen würde.

Ferner würde das Gesetz zwei zentrale Mechanismen verankern: Ein datei- und informationssystemübergreifendes automatisiertes Verfahrensmonitoring zum Erfassen von Entscheidungsmustern und Zusammenhängen sowie einen automatisierten Abgleich von Antragsangaben mit öffentlich zugänglichen Internet- und Social-Media-Daten im Zweifelsfall.

Zivilgesellschaft und Fachverbände reagierten mit harter Kritik auf den Kabinettsbeschluss. Die Gesellschaft für Informatik (GI) äußert fundamentale Zweifel an der technischen Machbarkeit und dem Nutzen der Pläne. GI-Expertin Christine Hennig betont, dass KI-Systeme auf Wahrscheinlichkeiten basierten und fehlerhafte Halluzinationen erzeugten. In Kombination mit dem Phänomen des Automation Bias – der Neigung von Menschen, KI-Empfehlungen ungeprüft zu vertrauen – entstehe eine gefährliche Dynamik. Der notwendige manuelle Prüfaufwand würde die erhoffte Effizienzgewinnung wieder zunichtemachen.

Die GI warnt auch vor Diskriminierung durch verzerrte Trainingsdaten, die besonders vulnerable Gruppen wie Frauen, Kinder und People of Color benachteiligen, sowie vor hohen Fehlerraten beim automatisierten Abgleich ungeprüfter Internetdaten und bei der verankerten Ausnahmeregelung zur Verarbeitung biometrischer Daten.

Bereits zum vorherigen Referentenentwurf hatte die Deutsche Vereinigung für Datenschutz (DVD) eine vernichtende Stellungnahme vorgelegt und den vollständigen Rückzug des Vorhabens gefordert. Zwar befürwortet die DVD eine sinnvolle Digitalisierung, sieht in dem Entwurf jedoch eine systematische Missachtung europäischer Datenschutzvorgaben und verfassungsrechtlicher Schranken. Das Aufweichen der Datenminimierung, die fehlende Pseudonymisierung und die Etablierung massiver Generalklauseln seien inakzeptabel. Die Behauptung des Innenministeriums, dass die Letztentscheidung stets beim Menschen verbleibe, nennt die DVD angesichts der angestrebten Beschleunigung ohne Zusatzpersonal eine Illusion. De facto handele es sich um unkontrollierte automatisierte Entscheidungen bei Hochrisiko-KI-Systemen. Zudem verweist die DVD auf eklatante Sicherheitsrisiken beim Social-Media-Abgleich, bei dem Metadaten schutzbedürftiger Personen ungewollt an US-Konzerne fließen könnten.

Ebenfalls deutliche Worte findet AlgorithmWatch. Nora Oppermann, Junior Policy Managerin der zivilgesellschaftlichen Organisation, bemängelt, dass die Regierung Menschen, die auf eine sichere Ankunft hoffen, unausgereiften und fehleranfälligen KI-Systemen aussetze. Geflüchtete würden auf diese Weise zu Versuchskaninchen für evidenzlose Forschung gemacht, was einer Demokratie nicht gerecht werde. AlgorithmWatch kritisiert vor allem das Fehlen differenzierter Schutzmechanismen und wirft der Bundesregierung vor, für eine vermeintliche Entbürokratisierung schwere Folgen für menschliche Schicksale billigend in Kauf zu nehmen.

Zusammenfassend fordern GI, DVD und AlgorithmWatch eine grundlegende Überarbeitung des Gesetzentwurfs im anstehenden parlamentarischen Verfahren. Sie verlangen die strikte Verankerung von Security und Privacy by Design, wirksame Mechanismen gegen Diskriminierung sowie verlässliche rechtsstaatliche Kontrollen und Transparenzrechte für Betroffene.

Stefan Krempl

Gesichtsdatenbank: Österreichs Polizei nutzte Gesichtserkennung jahrelang illegal

Eine Entscheidung der Österreichischen Datenschutzbehörde erschüttert das Innenministerium der Alpenrepublik: Der seit 2020 genutzte automatisierte Gesichtsabgleich hat keine Rechtsgrundlage.

Ein friedlicher Klimaprotest in Wien im März 2023 entwickelte sich für einen Teilnehmer unbemerkt zu einem Präzedenzfall für digitale Bürgerrechte. Die österreichische Polizei fotografierte den Demonstranten vor Ort und glich das Bild anschließend automatisiert mit der zentralen staatlichen Gesichtsdatenbank ab. Aus dem Treffer resultierte ein Ermittlungsverfahren wegen des Verdachts auf strafbare Handlungen. Dieses wurde zwar später vollumfänglich eingestellt, da sich keinerlei Fehlverhalten nachweisen ließ. Doch der Vorfall hinterließ offene Fragen.

Der Betroffene selbst erfuhr erst durch eine eigene Datenschutz-Auskunftsanfrage überhaupt davon, dass sein Gesicht per Software gescannt und verarbeitet worden war. In der Folge reichte die Bürgerrechtsorganisation epicenter.works Beschwerde bei der österreichischen Datenschutzbehörde (DSB) ein. Ihr Ziel: nicht nur diesen Einzelfall, sondern die gesamte staatliche Überwachungspraxis rechtlich prüfen zu lassen.

Seit 2020 setzt die österreichische Exekutive die automatisierte Gesichtserkennung zur Identifizierung von Personen ein. Von Beginn an begleiteten rechtliche Bedenken diese Praxis. Nicht nur Datenschutzorganisationen zeigten sich besorgt. Auch mehrere parlamentarischer Anfragen von SPÖ, Neos und den Grünen widmeten sich dem Thema. Im Zentrum der Kritik stand die Frage, ob für den Einsatz einer so eingriffsintensiven Überwachungstechnologie überhaupt eine taugliche Rechtsgrundlage existiert. Das österreichische Innenministerium zeigte sich von den Einwänden jahrelang unbeeindruckt, ignorierte jegliche Zweifel an der eigenen Rechtsauffassung und führte die Abgleiche unvermindert fort.

Nun liegt epicenter.works der finale Bescheid der Datenschutzbehörde vor – und das Ergebnis kommt einem juristischen Paukenschlag gleich. Die DSB hat die bisherige Verteidigungslinie des Innenministeriums vollumfänglich verworfen. Der von den Sicherheitsbehörden herangezogene Paragraf 75 des Sicherheitspolizeigesetzes (SPG) stellt laut der Entscheidung keine tragfähige Basis für den automatisierten Gesichtsabgleich dar. 

Die Norm stammt aus einer Zeit, in der es um die analoge Verwaltung von Fingerabdruck-Karteikarten ging. Eine solche Bestimmung eins zu eins auf den Einsatz von Systemen mit Künstlicher Intelligenz zu übertragen, die ein Porträtfoto binnen Sekunden mit rund einer halben Million gespeicherten Bildern vergleichen, bezeichneten Kritiker als den Versuch, ein Formel-1-Rennen mit den Regeln der Straßenverkehrsordnung zu steuern.

Die Sprengkraft des Bescheids reicht weit über den konkreten Anlassfall der Klimademonstration hinaus. Da sich die Polizei bei der Nutzung der Technologie seit 2020 durchgehend auf diesen Paragrafen gestützt hat, ist laut den Bürgerrechtlern schlagartig jeder einzelne automatisierte Gesichtsabgleich der vergangenen Jahre rechtswidrig. Für die Praxis bedeute das eine Kehrtwende: Der Einsatz der Software müsse unverzüglich gestoppt werden, bis der Gesetzgeber eine neue, verfassungskonforme Grundlage geschaffen habe.

Stefan Krempl

US-Visa-Erpressung: EU droht Grundrechte in Biometriedeal mit den USA zu opfern

Ein geleakter Entwurf legt nahe: Die EU-Kommission knickt beim verstärkten Grenzschutz vor Washingtons Überwachungsdruck ein und riskiert ein juristisches Fiasko vor dem EuGH.

Die EU-Kommission steht in der Kritik, bei den geheimen Verhandlungen über ein neues Sicherheits- und Datenabkommen mit den USA grundlegende europäische Rechtsstandards aufzugeben. Ein geleakter Entwurf des Rahmenabkommens für die „Enhanced Border Security Partnerships“ (EBSP) zeigt, dass die Brüsseler Unterhändler den weitreichenden Überwachungsforderungen Washingtons fast vollständig nachgegeben haben.

Die Bürgerrechtsorganisation European Digital Rights (EDRi) warnt in einer juristischen Analyse eindringlich vor den Folgen. Gemeinsam mit einem breiten Bündnis aus Zivilgesellschaft und Wissenschaft fordert EDRi in einem offenen Brief die EU-Institutionen auf, dem amerikanischen Druck standzuhalten und die europäischen Datenschutzgarantien nicht für das visumfreie Reisen zu opfern. Zu den prominenten Erstunterzeichnern des Appells gehören internationale Organisationen wie Access Now und das Centre for Democracy and Technology (CDT) sowie renommierte Bürgerrechtsgruppen wie Statewatch, Digitalcourage, die Digitale Gesellschaft und die Deutsche Vereinigung für Datenschutz (DVD).

Der Ursprung des Konflikts liegt im Jahr 2022, als die US-Regierung ankündigte, die Beibehaltung der Visumfreiheit im Rahmen des Visa-Waiver-Programms an eine neue Bedingung zu knüpfen: Partnerländer müssen den US-Behörden den automatisierten Zugriff auf nationale biometrische Datenbanken gewähren. Dieses EBSP-Verfahren dient der massenhaften Überprüfung und Risikobewertung von Reisenden noch vor deren Einreise in die USA. Obwohl die Gespräche bereits seit Jahren im Geheimen laufen, erhielt die EU-Kommission erst im Dezember 2025 ein offizielles Mandat des EU-Rates, um ein einheitliches Rahmenabkommen auszuhandeln. Auf dessen Basis sollen die Mitgliedstaaten dann bilaterale Verträge schließen.

Die nun vorliegenden Details aus dem im Mai durch Statewatch geleakten Entwurf zeigen indes eine drastische Abweichung von diesem Verhandlungsmandat der Mitgliedstaaten. Laut EDRi verstößt der ausgehandelte Text in weiten Teilen gegen europäisches Primär- und Sekundärrecht, insbesondere gegen die Grundrechtecharta. Im Kern geht es um einen systematischen Transfer sensibler Daten, der laut Kritikern einer Erpressung gleicht. Trifft eine automatisierte US-Abfrage bei der ESTA- oder Visumbeantragung auf einen Treffer in einer europäischen Datenbank, müssten die EU-Staaten in Fast-Echtzeit nicht nur Biometrie- und Identitätsdaten übermitteln, sondern auch subjektive Risikoeinschätzungen liefern.

Durch die geforderte Geschwindigkeit wird eine effektive menschliche Überprüfung der Datenqualität in Europa praktisch unmöglich gemacht. Das wiegt umso schwerer, als die US-Behörden Reisende im Vorfeld über ein automatisiertes System durchleuchten, das auch öffentlich zugängliche Social-Media-Profile auswertet. Besonders pikant ist, dass der vorliegende Entwurf keinen Schutz vor Diskriminierung aufgrund politischer Meinungen enthält. Angesichts des harten Vorgehens der Trump-Administration gegen politischen Protest befürchten die Bürgerrechtler, dass Social-Media-Beiträge gegen die US-Regierung, die Unterstützung von Transgender-Rechten oder die Teilnahme an Protestsituationen über den europäisch-amerikanischen Datenabgleich zu direkten Einreiseverweigerungen oder Inhaftierungen an den US-Grenzen führen könnten.

Zudem hebelt das Abkommen der Analyse zufolge fundamentale Datenschutzprinzipien aus. Die Zweckbindung werde nahezu komplett aufgelöst, da US-Strafverfolgungsbehörden und Geheimdienste die Daten für beliebige andere Ermittlungen nutzen und sie sogar an lokale Polizeibehörden weitergeben dürften, für die die Schutzregeln des Abkommens gar nicht gelten. Auch bei den Speicherfristen drohe ein uferloser Zustand: das EU-Recht verlangt eine strikte Begrenzung. Die US-Rechtslage erlaubt es dagegen dem Department of Homeland Security (DHS), die Daten im Automated-Targeting-System für bis zu 75 Jahre aufzubewahren – weit über die eigentliche Reise hinaus.

Ein echter Rechtsschutz für betroffene EU-Bürger sei im Entwurf nicht vorgesehen, heißt es. Die Rechte auf Auskunft, Benachrichtigung und Löschung richteten sich rein nach US-Recht, wobei der US Judicial Redress Act für diese Art von Grenzkontroll- und Visadaten explizit nicht greife. Betroffene erführen meist nicht einmal, dass sie Opfer einer fehlerhaften automatisierten Entscheidung wurden. Sie hätten aufgrund der US-Rechtsprechung kaum Chancen, vor einem amerikanischen Gericht zu klagen. Da auch eine unabhängige Datenschutzkontrolle in den USA nach jüngsten Urteilen des Supreme Courts als verfassungswidrig gilt, fehle jegliche wirksame Aufsicht.

EDRi und die Mitunterzeichner warnen die EU-Länder vor einem juristischen Fiasko. Sollte das Abkommen in dieser Form verabschiedet werden, dürfte es vor dem Europäischen Gerichtshof (EuGH) wegen eklatanter Mängel beim Datenschutzniveau scheitern. Die Zivilgesellschaft fordert daher einen sofortigen Stopp der Verhandlungen, bis die USA rechtsstaatliche Garantien und einen echten Grundrechteschutz nachweisen können – kein Abkommen sei besser als ein Deal, der die Rechte der Bürger leichtfertig verscherbelt.

Stefan Krempl

Urteil: Ärztin muss Kollegen nach Datenleck bei WhatsApp Schadensersatz zahlen

Das Arbeitsgericht Siegburg verurteilt eine Stationsärztin, weil sie Diagnosen eines Kollegen in einer Chatgruppe geteilt und ihn lächerlich gemacht hat.

Der schnelle Austausch über Messenger-Dienste gehört in vielen Betrieben längst zum Arbeitsalltag, birgt aber auch erhebliche rechtliche Risiken. Das gilt vor allem beim Umgang mit sensiblen Daten. Das Arbeitsgericht Siegburg hat in einem nun publik gemachten Urteil klargestellt, dass die unbefugte Weitergabe von Krankheitsdaten in einer beruflichen WhatsApp-Gruppe schwerwiegende finanzielle und rechtliche Konsequenzen nach sich ziehen kann (Az.: 1 Ca 1741/25). Im konkreten Fall verurteilten die Richter eine Stationsärztin dazu, einem Kollegen ein immaterielles Schmerzensgeld in Höhe von 1000 Euro zu zahlen und das Verhalten künftig zu unterlassen, nachdem sie dessen vertrauliche Gesundheitsdaten im gemeinsamen Chat offengelegt hatte.

Der gerichtlichen Auseinandersetzung ging laut einer Mitteilung der Instanz ein handfester Konflikt in der Belegschaft einer Klinik voraus. Der Kläger war dort als Arzt in Weiterbildung beschäftigt, die Beklagte war dort Stationsärztin. Für die interne Abstimmung von Dienstübernahmen, Urlaubsplanungen und kurzfristigen Krankmeldungen nutzten die Mediziner eine gemeinsame WhatsApp-Gruppe. Als sich der Kläger vor einem anstehenden Wochenenddienst in der eigenen Klinik untersuchen ließ und anschließend krankmeldete, musste die Beklagte kurzfristig einspringen.

Ihren Ärger über die zusätzliche Arbeitsbelastung machte sie daraufhin in der Chatgruppe öffentlich. Dabei beließ sie es jedoch nicht bei einer Beschwerde über den Ausfall, sondern teilte die konkreten Diagnosen des Kollegen mit der gesamten Runde. Zudem spottete sie über den Zustand des Betroffenen und äußerte die Vermutung, dieser simuliere die Erkrankung nur und habe lediglich einen Pups quer sitzen.

Der bloßgestellte Mediziner wehrte sich gegen die Verletzung seiner Privatsphäre und zog wegen des Datenschutzverstoßes vor das Arbeitsgericht Siegburg, wo er auf Unterlassung und Schadensersatz klagte. Die Richter gaben der Klage in weiten Teilen statt und stellten fest, dass die Beklagte personenbezogene Gesundheitsdaten ohne jegliche Berechtigung weitergegeben habe. Da es sich bei medizinischen Diagnosen um besonders geschützte Daten handelt, wog der Verstoß schwer.

Das Gericht sah ferner die für einen Unterlassungsanspruch erforderliche Wiederholungsgefahr als gegeben an, obwohl der Kläger das Krankenhaus zwischenzeitlich verlassen hat und an einer anderen Arbeitsstätte tätig ist. Ausschlaggebend für diese Einschätzung war etwa das Verhalten der Beklagten während der mündlichen Verhandlung, bei der sie sich uneinsichtig zeigte und kein Unrechtsbewusstsein für ihr Fehlverhalten erkennen ließ.

Neben dem Unterlassungsgebot sprachen die Richter dem Kläger ein immaterielles Schadensersatzgeld zu. Die Summe von 1000 Euro soll den erlittenen Kontrollverlust über die eigenen Daten sowie die erhebliche Bloßstellung vor der Kollegenschaft kompensieren, da der Mann durch die Äußerungen im Chat ins Lächerliche gezogen wurde.

Das Urteil verdeutlicht, dass der Schutz sensibler Mitarbeiterdaten auch im digitalen Zeitalter und in vermeintlich privaten oder informellen Kommunikationskanälen gewahrt bleiben muss. Angestellte dürfen demnach auch bei persönlicher Verärgerung über Dienstausfälle keine vertraulichen Informationen offenlegen. Die Entscheidung des Arbeitsgerichts ist aber noch nicht rechtskräftig. Der Beklagten steht die Möglichkeit offen, Berufung beim Landesarbeitsgericht Köln einzulegen.

Stefan Krempl

EUDI-Wallet: Skepsis und Unwissenheit bedrohen Prestigeprojekt des Bundes

Rund sechs Monate vor dem Start der EU-Brieftasche hierzulande kennt die Mehrheit der Deutschen die damit verknüpfte europäische elektronische Identität (eID) nicht. Wer informiert ist, vertraut dem Staat jedoch eher.

Knapp ein halbes Jahr vor dem geplanten Start eines der ambitioniertesten und wichtigsten Digitalprojekte der Bundesregierung und der EU herrscht in der Bevölkerung noch Skepsis und weitgehendes Unwissen. Nur 46 Prozent der Menschen in Deutschland trauen der Regierung aktuell zu, die europäische digitale Brieftasche (EUDI-Wallet) sowohl sicher als auch benutzerfreundlich einzuführen. Gleichzeitig offenbart sich ein massives Informationsdefizit: Lediglich 23 Prozent der Bürger wissen überhaupt, was sich hinter dem Begriff EUDI verbirgt.

Die Zahlen gehen aus einer repräsentativen Umfrage hervor, die das Marktforschungsunternehmen Sapio Research im Juni 2026 im Auftrag der Identitätsplattform IDnow unter 1000 deutschen Verbrauchern durchgeführt hat. Die Ergebnisse verdeutlichen, dass der Erfolg des gesamten Vorhabens auf der Kippe stehen könnte, wenn die Exekutive die Aufklärungsarbeit nicht intensiviert.

Interessanterweise liefert die Studie direkt den Schlüssel zur Lösung dieses Problems, denn Wissen korreliert in diesem Fall stark mit Vertrauen. Verbraucher, die bereits mit dem Konzept der EUDI-Wallet vertraut sind, trauen der Bundesregierung eine erfolgreiche Umsetzung mehr als doppelt so häufig zu wie diejenigen, die noch nie davon gehört haben. Konkret liegt der Vertrauenswert bei den Informierten bei 73 Prozent, während er bei den Unwissenden auf magere 30 Prozent absinkt. Liudmyla Rabchynska, Director of Global Regulatory und Government Affairs bei IDnow, wertet dies als Zeichen, dass eine digitale Brieftasche nur dann Vertrauen schaffen kann, wenn die Menschen den konkreten Nutzen für ihren Alltag verstehen. Information und strategische Kommunikation seien in den verbleibenden Monaten der entscheidende Hebel für den Erfolg. Rabchynska weiß dies aus praktischer Erfahrung: Als ehemalige stellvertretende Ministerin für digitale Transformation der Ukraine war sie maßgeblich an der Einführung der staatlichen App Diia beteiligt, die heute als eines der Vorzeigeprojekte weltweit für digitale Bürgerplattformen gilt.

Die Ironie an den Umfrageergebnissen ist, dass sich die Menschen in Deutschland eigentlich genau die Funktionen wünschen, die die EUDI-Wallet theoretisch bieten soll. So gaben 64 Prozent der Befragten an, dass sie die digitale Brieftasche eher nutzen würden, wenn sie damit im Alltag beispielsweise ihr Alter nachweisen könnten, ohne direkt alle anderen sensiblen persönlichen Daten offenlegen zu müssen. Der wichtigste Faktor für das Vertrauen der Nutzer ist laut der Umfrage die Souveränität über die eigenen Daten, also die Möglichkeit, selbstbestimmt zu entscheiden, welche Informationen an wen übermittelt werden. Die EUDI-Wallet wurde genau für diesen Zweck entwickelt: Sie soll mehr Datenkontrolle garantieren und das sogenannte Prinzip der Datenminimierung konsequent umsetzen, sodass nur die für einen spezifischen Nachweis zwingend erforderlichen Details geteilt werden. Allerdings gibt es noch heftigen Streit über die Umsetzung dieser Ziele.

Dennoch nimmt bloßes Wissen den Menschen nicht automatisch alle Sorgen, es stärkt lediglich das Grundvertrauen in die Machbarkeit. Die Umfrage zeigt, dass auch informierte Bürger weiterhin Fragen zu Datenschutz, IT-Sicherheit und potenziellem Missbrauch umtreiben. Gerade einmal sechs Prozent der Deutschen erklären, überhaupt keine Bedenken gegenüber der EUDI-Wallet zu haben. Experten sehen darin aber kein Ausschlusskriterium. Laut Rabchynska sind Bedenken gegenüber einer völlig neuen digitalen Identitätslösung nachvollziehbar. Die eigentliche Kommunikationsaufgabe des Staates bestehe nun darin, die technischen Schutzmechanismen transparent zu erklären und den Nutzern zu verdeutlichen, wie sie die Kontrolle über ihre Identität behalten.

Der Informationsstand im Land zu dem Thema ist ingesamt niedrig. 29 Prozent haben zwar schon einmal von dem Vorhaben gehört, wissen aber nicht, worum es sich genau handelt. Fast die Hälfte der Bevölkerung, nämlich 48 Prozent, hat noch nie ein Wort über die EUDI-Wallet gehört.

Neben der Bekanntheit wird sich die Akzeptanz aber vor allem in der Praxis beweisen müssen. Hier lauern die größten Ängste der Verbraucher: Stolze 73 Prozent befürchten, dass die verschiedenen Systeme und digitalen Dienste im Alltag nicht reibungslos ineinandergreifen werden. Zudem sorgen sich 69 Prozent, dass die Technologie am Ende zu kompliziert oder schlicht unzuverlässig sein könnte. Das Mammutprojekt der Bundesregierung steht somit vor einer doppelten Reifeprüfung: Es muss den Bürgern bis zum Start verständlich erklärt werden und sich zeitgleich im Alltag als absolut krisenfest erweisen.

Stefan Krempl

EuGH-Urteil: Wettbewerbshüter dürfen Firmen-E-Mails ohne Richterbeschluss beschlagnahmen

Nationale Wettbewerbsbehörden können im Rahmen von Ermittlungen geschäftliche E-Mails sichern, sofern ausreichende nachträgliche Kontrollen greifen.

Die europäischen Wettbewerbsbehörden behalten im Kampf gegen Kartelle und unlautere Absprachen ein scharfes Schwert in der Hand. Nach einem aktuellen Urteil des Europäischen Gerichtshofs (EuGH) steht das Unionsrecht nationalen Regelungen grundsätzlich nicht entgegen, wonach Ermittler im Rahmen einer Nachprüfung in Geschäftsräumen geschäftliche E-Mails von Mitarbeitern und Führungskräften auch ohne vorherigen richterlichen Beschluss beschlagnahmen dürfen. Ein solcher Zugriff kommt zwar unweigerlich einem Eingriff in die Grundrechte gleich. Laut den Luxemburger Richtern ist er aber durch das hohe Gemeinwohlziel eines unverfälschten Wettbewerbs im Binnenmarkt gerechtfertigt.

Allerdings zieht der EuGH dabei in der Rechtssache C-258/23 klare Grenzen: Fehlt eine vorherige richterliche Genehmigung, müssen enge rechtliche Leitplanken und vor allem eine wirksame, umfassende nachträgliche gerichtliche Kontrolle gewährleistet sein, um Missbrauch und Willkür zu verhindern.

Der Entscheidung liegt ein Rechtsstreit aus Portugal zugrunde. Dort hatte die nationale Wettbewerbsbehörde im Zuge von Untersuchungen wegen mutmaßlicher wettbewerbswidriger Praktiken die Geschäftsräume mehrerer Unternehmen durchsucht. Die Ermittlungen drehten sich um Vorwürfe wie mutmaßliche Preisabsprachen bei Covid-19-Tests, Preisabsprachen bei Teleradiologiedienstleistungen für staatliche Krankenhäuser. Auch der Verdacht des Missbrauchs einer marktbeherrschenden Stellung im Sektor der Zahlungsabwicklung stand im Raum.

Die Behörden stellten dabei geschäftliche E-Mails sicher, die über die internen Kommunikationssysteme der Firmen ausgetauscht worden waren. Die betroffenen Unternehmen wehrten sich gerichtlich gegen diese Maßnahme. Sie argumentierten, dass die Beschlagnahme ihr Recht auf Vertraulichkeit der Kommunikation verletzt habe und zwingend von einem Untersuchungsrichter hätte genehmigt werden müssen, statt wie geschehen von der Staatsanwaltschaft. Das zuständige portugiesische Gericht legte die Frage dem EuGH zur Vorabentscheidung vor.

In seinem Urteil stellt das höchste europäische Gericht zunächst grundlegend klar, dass geschäftliche E-Mails, die Arbeitnehmer und Manager über das betriebliche E-Mail-System austauschen, unter den Schutz des Grundrechts auf Achtung des Privat- und Familienlebens sowie der Kommunikation fallen. Der rein geschäftliche Charakter oder Inhalt einer Nachricht nimmt ihr diesen Schutz ausdrücklich nicht. Ferner berührt eine solche Beschlagnahme das Recht auf den Schutz personenbezogener Daten. Eine Sicherung der Informationen schränkt die Ausübung dieser Grundrechte somit eindeutig ein.

Dennoch stufen die Richter diesen Eingriff als verhältnismäßig und rechtmäßig ein. Die Gewährleistung eines fairen Wettbewerbs sei ein zentrales, von der EU anerkanntes Ziel des Gemeinwohls. Da die Ermittler keinen pauschalen, unbeschränkten Zugriff auf die Systeme hätten und die Daten ausschließlich zur Aufklärung der konkreten Kartellvorwürfe genutzt werden dürften, bleibe der Wesensgehalt der Grundrechte gewahrt. Zudem verlangten auch die unionsrechtlichen Durchführungsbestimmungen für Wettbewerbsregeln keine zwingende richterliche Vorabgenehmigung für Durchsuchungen in Firmenräumen.

Die Luxemburger Richter verknüpfen dieses grüne Licht für die Ermittlungsbehörden aber mit strikten rechtsstaatlichen Auflagen für die Mitgliedstaaten. Wenn ein System auf eine präventive richterliche Kontrolle verzichtet, muss das nationale Recht stattdessen durch strenge gesetzliche Rahmenbedingungen für hinreichenden Schutz vor Willkür sorgen. Im portugiesischen Fall waren die Maßnahmen von der Staatsanwaltschaft genehmigt worden, die dort als unabhängige Justizbehörde agiert. Das ist laut EuGH geeignet, den sachlichen Umfang, die Zweckmäßigkeit und die Dauer der Durchsuchung einzugrenzen. Entscheidend ist ferner, dass den Betroffenen ein effektiver Rechtsweg offen steht, über den ein Gericht die Rechtmäßigkeit der Beschlagnahme im Nachhinein vollumfänglich überprüfen kann.

Einen Vorbehalt formuliert der EuGH für den Fall, dass Ermittler auf Datenträger zugreifen, die nicht rein beruflich genutzt werden. Sollten im Rahmen der Nachprüfungen Mobiltelefone, Computer oder andere Speichermedien beschlagnahmt werden, die Mitarbeiter oder Führungskräfte nachweislich sowohl für geschäftliche als auch für private Zwecke verwenden, gelten ungleich höhere Hürden. Weil die Gesamtheit solcher Daten sehr präzise Rückschlüsse auf das persönliche Leben, die Gewohnheiten und die Privatsphäre eines Menschen zulässt, wiegt ein staatlicher Zugang hier ungleich schwerer.

Bei solchen gemischt genutzten Geräten, so das Urteil, ist ein Verzicht auf die Vorabkontrolle nicht zulässig. Der Zugang zu diesen Daten muss zwingend im Vorfeld von einem Gericht oder einer vollkommen unabhängigen Verwaltungsstelle geprüft und genehmigt werden, um die widerstreitenden Interessen von Strafverfolgung und Privatsphäre fair abzuwägen. Das vorlegende portugiesische Gericht muss nun den konkreten Sachverhalt auf Basis dieser bindenden Vorgaben final entscheiden.

Stefan Krempl

EuGH: Online-Nennung von Doping-Sündern ist unter DSGVO-Vorbehalt zulässig

Die Veröffentlichung gesperrter Profisportler im Netz ist prinzipiell rechtens, verlangt laut Europäischem Gerichtshof aber stets eine Einzelfallabwägung.

Der Europäische Gerichtshof (EuGH) hat sich in die Debatte über den digitalen Pranger für Sportler eingeschaltet. Die Luxemburger Richter entschieden, dass die Online-Veröffentlichung der Klarnamen von Profisportlern, die gegen Anti-Doping-Vorschriften verstoßen haben, grundsätzlich mit dem EU-Recht und der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. Allerdings setzten sie den nationalen Anti-Doping-Agenturen dabei enge datenschutzrechtliche Grenzen. Eine pauschale und undifferenzierte Veröffentlichung ohne die Möglichkeit einer vorherigen Interessenabwägung ist demnach unzulässig.

Dem Urteil liegt ein Rechtsstreit aus Österreich zugrunde. Die dortige Anti-Doping-Rechtskommission und die Unabhängige Schiedskommission hatten vier Athleten wegen Dopingverstößen für einen befristeten Zeitraum oder sogar lebenslänglich gesperrt. Nach dortiger Rechtslage werden solche Sanktionen mitsamt Vor- und Nachnamen, Sportart, dem konkreten Verstoß sowie der Dauer der Sperre im Internet auf den Websites der Anti-Doping-Agentur NADA Austria und der Rechtskommission publiziert.

Die betroffenen Sportler wehrten sich juristisch gegen diesen Online-Pranger. Sie argumentierten vor dem österreichischen Bundesverwaltungsgericht, dass es sich bei den veröffentlichten Details um hochsensible Gesundheitsdaten handele, deren Verarbeitung im Netz grundsätzlich untersagt sei. Zudem machten sie geltend, dass die Daten wie strafrechtliche Verurteilungen zu behandeln seien und die österreichische Praxis der starren Veröffentlichung gegen die DSGVO verstoße. Das Bundesverwaltungsgericht rief daraufhin den EuGH an.

Die Luxemburger Richter folgten der Argumentation der Athleten in wesentlichen Teilen jedoch nicht. Sie stellten klar, dass Informationen über Doping-Sperren im Regelfall keine Gesundheitsdaten im Sinne der DSGVO sind. Eine Ausnahme gilt nur dann, wenn durch die Nennung eines verbotenen Wirkstoffs oder einer Methode im Zusammenspiel mit anderen Informationen – auch nur mittelbar – Rückschlüsse auf den konkreten körperlichen oder geistigen Gesundheitszustand des Sportlers gezogen werden können. Auch eine Gleichstellung mit Daten über strafrechtliche Verurteilungen lehnte das Gericht ab. Doping-Sanktionen seien vielmehr mit Disziplinarstrafen vergleichbar, da sie sich an eine spezifische Gruppe von Personen richten, um die Einhaltung interner Verhaltensregeln sicherzustellen.

Grundsätzlich stehe die DSGVO einer Online-Veröffentlichung der Namen, der Sperrdauer und der Gründe nicht entgegen, da die Bekämpfung von Doping ein legitimes Ziel des Gemeinwohls verfolge. Sie diene dem fairen sportlichen Wettkampf, der Chancengleichheit, dem Gesundheitsschutz und den ethischen Werten des Sports. Eine weltweite Publizität im Internet sei auch verhältnismäßig, da ein berechtigtes Informationsinteresse von Personen wie aktuellen oder potenziellen Arbeitgebern und Sponsoren bestehe, die von der Sperre unmittelbar in ihren Interessen beeinträchtigt werden. Spitzensportler mit einem gewissen Bekanntheitsgrad tragen laut EuGH zudem eine besondere Verantwortung.

Das dicke Ende für die Praxis der Anti-Doping-Behörden folgt aber im Detail der Umsetzung. Der EuGH fordert zwingend, dass die für die Veröffentlichung zuständige Stelle im Sinne der Verhältnismäßigkeit vorab eine individuelle Abwägung der beteiligten Interessen vornehmen muss. Eine starre Automatik, wie sie in manchen nationalen Gesetzen verankert ist, wankt damit.

Ferner muss auch die Dauer der Online-Nennung verhältnismäßig sein. Eine namentliche Angabe, die über die eigentliche Laufzeit der verhängten Sperre hinausgeht, stellt laut Gericht einen unzulässigen und unverhältnismäßigen Grundrechtseingriff dar. Nicht zuletzt stärkt das Urteil die Rechte der Sportler im Verfahren: Sie müssen die Möglichkeit erhalten, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen. Voraussetzung ist, dass konkrete Anhaltspunkte dafür vorliegen, dass eine Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden soll. Das nationale Gericht in Österreich muss den Fall nun unter Berücksichtigung dieser Leitlinien final entscheiden.

Stefan Krempl