Gesichtsdatenbank: Österreichs Polizei nutzte Gesichtserkennung jahrelang illegal

Eine Entscheidung der Österreichischen Datenschutzbehörde erschüttert das Innenministerium der Alpenrepublik: Der seit 2020 genutzte automatisierte Gesichtsabgleich hat keine Rechtsgrundlage.

Ein friedlicher Klimaprotest in Wien im März 2023 entwickelte sich für einen Teilnehmer unbemerkt zu einem Präzedenzfall für digitale Bürgerrechte. Die österreichische Polizei fotografierte den Demonstranten vor Ort und glich das Bild anschließend automatisiert mit der zentralen staatlichen Gesichtsdatenbank ab. Aus dem Treffer resultierte ein Ermittlungsverfahren wegen des Verdachts auf strafbare Handlungen. Dieses wurde zwar später vollumfänglich eingestellt, da sich keinerlei Fehlverhalten nachweisen ließ. Doch der Vorfall hinterließ offene Fragen.

Der Betroffene selbst erfuhr erst durch eine eigene Datenschutz-Auskunftsanfrage überhaupt davon, dass sein Gesicht per Software gescannt und verarbeitet worden war. In der Folge reichte die Bürgerrechtsorganisation epicenter.works Beschwerde bei der österreichischen Datenschutzbehörde (DSB) ein. Ihr Ziel: nicht nur diesen Einzelfall, sondern die gesamte staatliche Überwachungspraxis rechtlich prüfen zu lassen.

Seit 2020 setzt die österreichische Exekutive die automatisierte Gesichtserkennung zur Identifizierung von Personen ein. Von Beginn an begleiteten rechtliche Bedenken diese Praxis. Nicht nur Datenschutzorganisationen zeigten sich besorgt. Auch mehrere parlamentarischer Anfragen von SPÖ, Neos und den Grünen widmeten sich dem Thema. Im Zentrum der Kritik stand die Frage, ob für den Einsatz einer so eingriffsintensiven Überwachungstechnologie überhaupt eine taugliche Rechtsgrundlage existiert. Das österreichische Innenministerium zeigte sich von den Einwänden jahrelang unbeeindruckt, ignorierte jegliche Zweifel an der eigenen Rechtsauffassung und führte die Abgleiche unvermindert fort.

Nun liegt epicenter.works der finale Bescheid der Datenschutzbehörde vor – und das Ergebnis kommt einem juristischen Paukenschlag gleich. Die DSB hat die bisherige Verteidigungslinie des Innenministeriums vollumfänglich verworfen. Der von den Sicherheitsbehörden herangezogene Paragraf 75 des Sicherheitspolizeigesetzes (SPG) stellt laut der Entscheidung keine tragfähige Basis für den automatisierten Gesichtsabgleich dar. 

Die Norm stammt aus einer Zeit, in der es um die analoge Verwaltung von Fingerabdruck-Karteikarten ging. Eine solche Bestimmung eins zu eins auf den Einsatz von Systemen mit Künstlicher Intelligenz zu übertragen, die ein Porträtfoto binnen Sekunden mit rund einer halben Million gespeicherten Bildern vergleichen, bezeichneten Kritiker als den Versuch, ein Formel-1-Rennen mit den Regeln der Straßenverkehrsordnung zu steuern.

Die Sprengkraft des Bescheids reicht weit über den konkreten Anlassfall der Klimademonstration hinaus. Da sich die Polizei bei der Nutzung der Technologie seit 2020 durchgehend auf diesen Paragrafen gestützt hat, ist laut den Bürgerrechtlern schlagartig jeder einzelne automatisierte Gesichtsabgleich der vergangenen Jahre rechtswidrig. Für die Praxis bedeute das eine Kehrtwende: Der Einsatz der Software müsse unverzüglich gestoppt werden, bis der Gesetzgeber eine neue, verfassungskonforme Grundlage geschaffen habe.

Stefan Krempl

EuGH-Urteil: Wettbewerbshüter dürfen Firmen-E-Mails ohne Richterbeschluss beschlagnahmen

Nationale Wettbewerbsbehörden können im Rahmen von Ermittlungen geschäftliche E-Mails sichern, sofern ausreichende nachträgliche Kontrollen greifen.

Die europäischen Wettbewerbsbehörden behalten im Kampf gegen Kartelle und unlautere Absprachen ein scharfes Schwert in der Hand. Nach einem aktuellen Urteil des Europäischen Gerichtshofs (EuGH) steht das Unionsrecht nationalen Regelungen grundsätzlich nicht entgegen, wonach Ermittler im Rahmen einer Nachprüfung in Geschäftsräumen geschäftliche E-Mails von Mitarbeitern und Führungskräften auch ohne vorherigen richterlichen Beschluss beschlagnahmen dürfen. Ein solcher Zugriff kommt zwar unweigerlich einem Eingriff in die Grundrechte gleich. Laut den Luxemburger Richtern ist er aber durch das hohe Gemeinwohlziel eines unverfälschten Wettbewerbs im Binnenmarkt gerechtfertigt.

Allerdings zieht der EuGH dabei in der Rechtssache C-258/23 klare Grenzen: Fehlt eine vorherige richterliche Genehmigung, müssen enge rechtliche Leitplanken und vor allem eine wirksame, umfassende nachträgliche gerichtliche Kontrolle gewährleistet sein, um Missbrauch und Willkür zu verhindern.

Der Entscheidung liegt ein Rechtsstreit aus Portugal zugrunde. Dort hatte die nationale Wettbewerbsbehörde im Zuge von Untersuchungen wegen mutmaßlicher wettbewerbswidriger Praktiken die Geschäftsräume mehrerer Unternehmen durchsucht. Die Ermittlungen drehten sich um Vorwürfe wie mutmaßliche Preisabsprachen bei Covid-19-Tests, Preisabsprachen bei Teleradiologiedienstleistungen für staatliche Krankenhäuser. Auch der Verdacht des Missbrauchs einer marktbeherrschenden Stellung im Sektor der Zahlungsabwicklung stand im Raum.

Die Behörden stellten dabei geschäftliche E-Mails sicher, die über die internen Kommunikationssysteme der Firmen ausgetauscht worden waren. Die betroffenen Unternehmen wehrten sich gerichtlich gegen diese Maßnahme. Sie argumentierten, dass die Beschlagnahme ihr Recht auf Vertraulichkeit der Kommunikation verletzt habe und zwingend von einem Untersuchungsrichter hätte genehmigt werden müssen, statt wie geschehen von der Staatsanwaltschaft. Das zuständige portugiesische Gericht legte die Frage dem EuGH zur Vorabentscheidung vor.

In seinem Urteil stellt das höchste europäische Gericht zunächst grundlegend klar, dass geschäftliche E-Mails, die Arbeitnehmer und Manager über das betriebliche E-Mail-System austauschen, unter den Schutz des Grundrechts auf Achtung des Privat- und Familienlebens sowie der Kommunikation fallen. Der rein geschäftliche Charakter oder Inhalt einer Nachricht nimmt ihr diesen Schutz ausdrücklich nicht. Ferner berührt eine solche Beschlagnahme das Recht auf den Schutz personenbezogener Daten. Eine Sicherung der Informationen schränkt die Ausübung dieser Grundrechte somit eindeutig ein.

Dennoch stufen die Richter diesen Eingriff als verhältnismäßig und rechtmäßig ein. Die Gewährleistung eines fairen Wettbewerbs sei ein zentrales, von der EU anerkanntes Ziel des Gemeinwohls. Da die Ermittler keinen pauschalen, unbeschränkten Zugriff auf die Systeme hätten und die Daten ausschließlich zur Aufklärung der konkreten Kartellvorwürfe genutzt werden dürften, bleibe der Wesensgehalt der Grundrechte gewahrt. Zudem verlangten auch die unionsrechtlichen Durchführungsbestimmungen für Wettbewerbsregeln keine zwingende richterliche Vorabgenehmigung für Durchsuchungen in Firmenräumen.

Die Luxemburger Richter verknüpfen dieses grüne Licht für die Ermittlungsbehörden aber mit strikten rechtsstaatlichen Auflagen für die Mitgliedstaaten. Wenn ein System auf eine präventive richterliche Kontrolle verzichtet, muss das nationale Recht stattdessen durch strenge gesetzliche Rahmenbedingungen für hinreichenden Schutz vor Willkür sorgen. Im portugiesischen Fall waren die Maßnahmen von der Staatsanwaltschaft genehmigt worden, die dort als unabhängige Justizbehörde agiert. Das ist laut EuGH geeignet, den sachlichen Umfang, die Zweckmäßigkeit und die Dauer der Durchsuchung einzugrenzen. Entscheidend ist ferner, dass den Betroffenen ein effektiver Rechtsweg offen steht, über den ein Gericht die Rechtmäßigkeit der Beschlagnahme im Nachhinein vollumfänglich überprüfen kann.

Einen Vorbehalt formuliert der EuGH für den Fall, dass Ermittler auf Datenträger zugreifen, die nicht rein beruflich genutzt werden. Sollten im Rahmen der Nachprüfungen Mobiltelefone, Computer oder andere Speichermedien beschlagnahmt werden, die Mitarbeiter oder Führungskräfte nachweislich sowohl für geschäftliche als auch für private Zwecke verwenden, gelten ungleich höhere Hürden. Weil die Gesamtheit solcher Daten sehr präzise Rückschlüsse auf das persönliche Leben, die Gewohnheiten und die Privatsphäre eines Menschen zulässt, wiegt ein staatlicher Zugang hier ungleich schwerer.

Bei solchen gemischt genutzten Geräten, so das Urteil, ist ein Verzicht auf die Vorabkontrolle nicht zulässig. Der Zugang zu diesen Daten muss zwingend im Vorfeld von einem Gericht oder einer vollkommen unabhängigen Verwaltungsstelle geprüft und genehmigt werden, um die widerstreitenden Interessen von Strafverfolgung und Privatsphäre fair abzuwägen. Das vorlegende portugiesische Gericht muss nun den konkreten Sachverhalt auf Basis dieser bindenden Vorgaben final entscheiden.

Stefan Krempl

EuGH: Online-Nennung von Doping-Sündern ist unter DSGVO-Vorbehalt zulässig

Die Veröffentlichung gesperrter Profisportler im Netz ist prinzipiell rechtens, verlangt laut Europäischem Gerichtshof aber stets eine Einzelfallabwägung.

Der Europäische Gerichtshof (EuGH) hat sich in die Debatte über den digitalen Pranger für Sportler eingeschaltet. Die Luxemburger Richter entschieden, dass die Online-Veröffentlichung der Klarnamen von Profisportlern, die gegen Anti-Doping-Vorschriften verstoßen haben, grundsätzlich mit dem EU-Recht und der Datenschutz-Grundverordnung (DSGVO) vereinbar ist. Allerdings setzten sie den nationalen Anti-Doping-Agenturen dabei enge datenschutzrechtliche Grenzen. Eine pauschale und undifferenzierte Veröffentlichung ohne die Möglichkeit einer vorherigen Interessenabwägung ist demnach unzulässig.

Dem Urteil liegt ein Rechtsstreit aus Österreich zugrunde. Die dortige Anti-Doping-Rechtskommission und die Unabhängige Schiedskommission hatten vier Athleten wegen Dopingverstößen für einen befristeten Zeitraum oder sogar lebenslänglich gesperrt. Nach dortiger Rechtslage werden solche Sanktionen mitsamt Vor- und Nachnamen, Sportart, dem konkreten Verstoß sowie der Dauer der Sperre im Internet auf den Websites der Anti-Doping-Agentur NADA Austria und der Rechtskommission publiziert.

Die betroffenen Sportler wehrten sich juristisch gegen diesen Online-Pranger. Sie argumentierten vor dem österreichischen Bundesverwaltungsgericht, dass es sich bei den veröffentlichten Details um hochsensible Gesundheitsdaten handele, deren Verarbeitung im Netz grundsätzlich untersagt sei. Zudem machten sie geltend, dass die Daten wie strafrechtliche Verurteilungen zu behandeln seien und die österreichische Praxis der starren Veröffentlichung gegen die DSGVO verstoße. Das Bundesverwaltungsgericht rief daraufhin den EuGH an.

Die Luxemburger Richter folgten der Argumentation der Athleten in wesentlichen Teilen jedoch nicht. Sie stellten klar, dass Informationen über Doping-Sperren im Regelfall keine Gesundheitsdaten im Sinne der DSGVO sind. Eine Ausnahme gilt nur dann, wenn durch die Nennung eines verbotenen Wirkstoffs oder einer Methode im Zusammenspiel mit anderen Informationen – auch nur mittelbar – Rückschlüsse auf den konkreten körperlichen oder geistigen Gesundheitszustand des Sportlers gezogen werden können. Auch eine Gleichstellung mit Daten über strafrechtliche Verurteilungen lehnte das Gericht ab. Doping-Sanktionen seien vielmehr mit Disziplinarstrafen vergleichbar, da sie sich an eine spezifische Gruppe von Personen richten, um die Einhaltung interner Verhaltensregeln sicherzustellen.

Grundsätzlich stehe die DSGVO einer Online-Veröffentlichung der Namen, der Sperrdauer und der Gründe nicht entgegen, da die Bekämpfung von Doping ein legitimes Ziel des Gemeinwohls verfolge. Sie diene dem fairen sportlichen Wettkampf, der Chancengleichheit, dem Gesundheitsschutz und den ethischen Werten des Sports. Eine weltweite Publizität im Internet sei auch verhältnismäßig, da ein berechtigtes Informationsinteresse von Personen wie aktuellen oder potenziellen Arbeitgebern und Sponsoren bestehe, die von der Sperre unmittelbar in ihren Interessen beeinträchtigt werden. Spitzensportler mit einem gewissen Bekanntheitsgrad tragen laut EuGH zudem eine besondere Verantwortung.

Das dicke Ende für die Praxis der Anti-Doping-Behörden folgt aber im Detail der Umsetzung. Der EuGH fordert zwingend, dass die für die Veröffentlichung zuständige Stelle im Sinne der Verhältnismäßigkeit vorab eine individuelle Abwägung der beteiligten Interessen vornehmen muss. Eine starre Automatik, wie sie in manchen nationalen Gesetzen verankert ist, wankt damit.

Ferner muss auch die Dauer der Online-Nennung verhältnismäßig sein. Eine namentliche Angabe, die über die eigentliche Laufzeit der verhängten Sperre hinausgeht, stellt laut Gericht einen unzulässigen und unverhältnismäßigen Grundrechtseingriff dar. Nicht zuletzt stärkt das Urteil die Rechte der Sportler im Verfahren: Sie müssen die Möglichkeit erhalten, präventiv eine Beschwerde bei der zuständigen Datenschutzbehörde einzulegen. Voraussetzung ist, dass konkrete Anhaltspunkte dafür vorliegen, dass eine Veröffentlichung unmittelbar bevorsteht oder in naher Zukunft stattfinden soll. Das nationale Gericht in Österreich muss den Fall nun unter Berücksichtigung dieser Leitlinien final entscheiden.

Stefan Krempl

KI in der Medizin: Patientendaten viel stärker gefährdet als gedacht

Gängige Sicherheitschecks unterschätzen laut einer Studie mit deutscher Beteiligung das Risiko für Individuen durch medizinische Datenauswertung völlig. Besonders Minderheiten sind bedroht.

Künstliche Intelligenz revolutioniert die medizinische Diagnostik. Ob bei der automatisierten Erkennung von Krebsgeschwüren auf Röntgenbildern oder der Analyse von EKG-Daten – moderne Algorithmen versprechen eine präzisere und schnellere Versorgung von Patienten. Doch diese Systeme haben ein frapierendes Datenschutzproblem. Um zuverlässig zu funktionieren, müssen sie mit riesigen Mengen echter, hochsensibler Gesundheitsdaten trainiert werden. Gelangt später auch nur die Information an die Öffentlichkeit, dass die Daten einer bestimmten Person in das Training eingeflossen sind, kann dies für die Betroffenen gravierende Folgen haben.

Ein internationales Forschungsteam hat nun im renommierten Fachmagazin „Nature“ nachgewiesen, dass KI-Modellen solche sensiblen Informationen mit den passenden Methoden deutlich effektiver entlockt werden können als bislang in der Fachwelt angenommen.

Im Fokus der Untersuchung stehen sogenannte Membership Inference Attacks (MIAs). Bei diesen digitalen Angriffen versucht ein Angreifer herauszufinden, ob ein spezifischer Datensatz – etwa die Krankenakte einer bestimmten Person – Teil des Trainingsmaterials einer KI war. Bisher wähnte sich die Wissenschaft bei gängigen medizinischen Anwendungen weitgehend in Sicherheit, da bisherige Berechnungen und Testverfahren das Risiko für solche Angriffe als vernachlässigbar einstuften. Die Forschenden der Technischen Universität München (TUM), des Imperial College London und des Hasso-Plattner-Instituts (HPI) konnten diese Annahme nun aber als irreführend entlarven.

Das Problem liegt ihrer Analyse zufolge im Detail der bisherigen Testmethodik. Standardmäßig wurde bei Sicherheitsprüfungen immer nur das durchschnittliche Risiko über alle Patienten hinweg ermittelt. Das Forschungsteam hat sich stattdessen erstmals das Risiko für jeden individuellen Patienten separat angeschaut, was ein völlig anderes, weitaus alarmierenderes Bild zeichnet. Während die Angriffe auf einen Großteil der Patientendaten tatsächlich wirkungslos blieben, ließen sich bestimmte Individuen mit einer Wahrscheinlichkeit von nahezu einhundert Prozent korrekt dem Trainingsdatensatz des Modells zuordnen. Angesichts der extremen Sensibilität von Gesundheitsdaten warnt das Team eindringlich davor, dieses punktuelle, aber extreme Risiko als verschmerzbar abzutun.

Für ein realistisches Bild attackierten die Wissenschaftler KI-Modelle, die auf sieben etablierten medizinischen Datensätzen basierten. Dabei wurden verschiedenste Datentypen berücksichtigt wie radiologische Bildgebungsdaten, Kardiogramme und elektronische Patientenakten. Für eine erfolgreiche Attacke benötigt ein Angreifer im Grunde drei Komponenten. Zunächst ist der Zugriff auf das KI-Modell selbst nötig, was im Alltag etwa über das kompromittierte Netzwerk einer Klinik denkbar ist. Als zweites wird der konkrete Datenpunkt der Zielperson benötigt, dessen Mitgliedschaft überprüft werden soll. Solche Informationen können etwa aus separaten Hackerangriffen auf Gesundheitseinrichtungen stammen. Zuletzt muss der Angreifer über eine eigene KI-Infrastruktur verfügen, um Referenzmodelle auf demselben Datentyp berechnen zu können.

Wie gefährlich dieses Szenario ist, zeigt sich an einem konkreten Anwendungsfall. Wird ein KI-Modell darauf trainiert, aus gewöhnlichen Blutbildern die Erfolgsaussichten einer Krebs-Immuntherapie abzulesen, gibt das Blutbild allein keine direkte Auskunft über eine Krebserkrankung. Kann ein Angreifer aber zweifelsfrei nachweisen, dass genau dieses Blutbild im Training des spezifischen Krebs-Modells verwendet wurde, lässt sich daraus mit Sicherheit ableiten, dass der Patient an Krebs erkrankt ist oder war.

Die realen Konsequenzen solcher Datenlecks könnten die Betroffenen noch Jahre später unvorbereitet treffen. Wer beispielsweise nach einer erfolgreich bekämpften Krebserkrankung seine Daten der medizinischen Forschung zur Verfügung gestellt hat, wiegt sich oft in falscher Sicherheit. Findet ein Angreifer Jahre später heraus, dass diese Daten für ein Tumoranalyse-Modell genutzt wurden, und gelangt diese Information über Drittanbieter an eine private Zusatzversicherung, droht die Einstufung als Hochrisikopatient. Die Folge sind Beitragsaufschläge oder die Verweigerung des Versicherungsschutzes, ohne dass der Betroffene jemals den wahren Grund dafür erfährt.

Das Risiko ist dabei keineswegs gleich verteilt. Die Angriffe waren in der Studie vor allem dann von Erfolg gekrönt, wenn die attackierten Personen zu einer Untergruppe gehörten, die im gesamten Trainingsdatensatz unterrepräsentiert war. Das betrifft seltene anatomische Merkmale in der Bildgebung ebenso wie Daten von ethnischen Minderheiten. Da Diskriminierung durch KI-Systeme in der Medizin ohnehin ein bekanntes Problem ist und Modelle bei Minderheiten oft ungenauere Diagnosen liefern, tragen diese ohnehin marginalisierten Gruppen nun auch noch die größte Datenschutz-Minderlast.

Verschärft wird die Situation durch den aktuellen Trend zu immer größeren, komplexeren Modellen wie etwa Vision Transformers. Die Forschenden wiesen nach: Je leistungsfähiger und tiefgehender ein Modell ist, desto höher ist die Erfolgsquote der Angriffe, da große Netzwerke untypische Datenmerkmale besonders tief verinnerlichen und abspeichern. Ohne gezielte Gegenmaßnahmen wird sich die Problematik in den kommenden Jahren mit dem technischen Fortschritt also massiv verschlimmern.

Die beteiligten Wissenschaftler plädieren daher dafür, die Risikobewertung neuer Modelle vor deren Freigabe grundsätzlich auf individueller Patientenebene durchzuführen. Neben strengen Zugriffskontrollen biete die mathematisch nachweisbare Methode der „Differential Privacy“ den vielversprechendsten Schutz. Dabei wird während des KI-Trainings ein minimales Rauschen in die Datenberechnungen integriert. Das beeinträchtigt die diagnostische Präzision des Modells kaum, verunmöglicht jedoch das spätere statistische Entlocken individueller Patientenhintergründe fast vollständig.

Stefan Krempl

Vernetzte Fahrzeuge: Französische Datenschützer ziehen enge Grenzen für die Ortung

Die Datenschutzbehörde CNIL fordert einen strengen Schutz für Standortdaten von Pkw, pocht auf Nutzer-Einwilligung und regelt den Umgang bei Mietwagen und Diebstahl.

Die französische Datenschutzbehörde CNIL hat Empfehlungen zur Nutzung von Standortdaten in vernetzten Fahrzeugen vorgelegt. In modernen Automobilen läuft kaum noch etwas ohne digitale Vernetzung. Ob Navigationshilfen, Infotainment, Flottenmanagement oder vorausschauende Wartung – Autos sammeln und senden mittlerweile kontinuierlich Daten über ihren aktuellen Aufenthaltsort. Doch genau diese Informationen bergen erhebliche Risiken für die Privatsphäre. Die CNIL betont in ihrer aktuellen Richtlinie, dass Standortdaten als hochgradig persönliche und sensible Informationen einzustufen sind. Sie erlauben extrem tiefe und potenziell aufdringliche Einblicke in das Leben von Menschen. Aus einem lückenlosen Bewegungsprofil lassen sich nicht nur alltägliche Fahrten, sondern auch sensible Gewohnheiten, regelmäßige Aufenthaltsorte, Freizeitinteressen oder sogar Rückschlüsse auf den Gesundheitszustand und die Religion der Betroffenen ableiten.

Dass Handlungsbedarf besteht, zeigen laut der Behörde auch ständige Medienberichte über gravierende Datenlecks bei verschiedenen Herstellern von Elektrofahrzeugen in den vergangenen Jahren, bei denen massenhaft Ortungsdaten ungeschützt im Netz landeten. Mit dem neuen Leitfaden will die CNIL nun einen klaren und aktualisierten Rechtsrahmen schaffen, um Transparenz, Datensparsamkeit und Sicherheit im Einklang mit der Datenschutz-Grundverordnung (DSGVO) zu gewährleisten.

Der Fokus des Ratgebers liegt auf der Nutzung von vernetzten Fahrzeugen durch Privatpersonen, unabhängig davon, ob diese Eigentümer oder Mieter des Wagens sind. Dienstwagen, die Arbeitnehmern von ihren Unternehmen überlassen werden, sind von  ausgenommen, da die Behörde dazu bereits in der Vergangenheit eigene Vorgaben erlassen hat. Adressiert wird ein komplexes Ökosystem an Akteuren. Die Richtlinie wendet sich an Automobilhersteller, private und öffentliche Flottenbetreiber sowie Autovermieter. Ebenso in die Pflicht genommen werden Anbieter von Telematiklösungen, die etwa über nachgerüstete Boxen Daten erheben, sowie Datenaggregatoren, die als Vermittler zwischen den Autobauern und Drittanbietern agieren.

Ein zentraler Aspekt sind rechtliche Klarstellungen zur E-Privacy-Richtlinie der EU. Das Auto wird dabei juristisch wie ein Smartphone oder ein Computer als digitales Endgerät betrachtet. Das bedeutet, dass das Auslesen oder Speichern von Standortdaten im Fahrzeug grundsätzlich an eine ausdrückliche Einwilligung des Nutzers gekoppelt sein muss. Eine Ausnahme gilt nur dann, wenn die Datenübermittlung für einen vom Nutzer explizit angeforderten Dienst absolut notwendig ist. Das ist etwa bei einer aktiven Routenführung des Navigationssystems der Fall. Für alle anderen, sekundären Zwecke müssen die Anbieter eine separate, informierte Zustimmung einholen.

Detailliert widmet sich die CNIL der Herausforderung, die durch die Nutzung eines Fahrzeugs durch mehrere unterschiedliche Personen entsteht. Im Alltag teilen sich oft Familienmitglieder ein Auto, oder es wird von wechselnden Kunden einer Autovermietung gefahren. Um die DSGVO-Rechte wie das auf Auskunft in einem solchen Multi-User-Umfeld wirksam zu schützen, empfiehlt die Behörde den Einsatz authentifizierter Profilmanagementsysteme. Fahrer sollten sich beim Einsteigen in ihr eigenes Profil einwählen können. Dies erleichtere nicht nur die individuelle Information und Verwaltung von Datenschutzeinstellungen. Es verhindert auch, dass der Fahrzeughalter oder ein Nachmieter unbefugt Zugriff auf die Bewegungshistorie anderer Personen erhalte.

Die Empfehlungen sind das Ergebnis einer breiten öffentlichen Konsultation, bei der zahlreiche Wirtschaftsverbände, Verbraucherschützer und Behörden Feedback eingereicht haben. Dies führte zu wichtigen Überarbeitungen. So stellt die CNIL fest, dass für die reine Ortung zur Verhinderung von Unterschlagung und Zweckentfremdung durch Mieter keine Einwilligung nach der E-Privacy-Richtlinie nötig ist, sofern die Nichtrückgabe des Fahrzeugs die Verfügbarkeit des Mietdienstes direkt beeinträchtigt. Im Falle eines Diebstahls darf das Ortungssystem ebenfalls ohne Zustimmung zur Wiederbeschaffung genutzt werden.

Für die Pannenhilfe und die Unfallassistenz rät die Behörde zu strenger Datensparsamkeit. So reicht es oft aus, nur die letzten drei Positionen zu speichern, um im Notfall den Unfallort zu bestimmen, statt dauerhaft die gesamte Route aufzuzeichnen. Zudem fordert die CNIL konkrete technische Vorkehrungen und Funktionen zur Fernabmeldung von Konten. So soll verhindert werden, dass Mitarbeiter von Vermietstationen oder nachfolgende Mieter auf sensible Daten im Bordcomputer zugreifen können, die der vorherige Nutzer vor der Rückgabe nicht gelöscht hat. In den kommenden Monaten will die CNIL Branchenverbände aktiv bei der Umsetzung der Vorgaben begleiten.

Stefan Krempl

Biometrie am Gate: Bundestag ebnet Weg für digitalen Check-in via Ausweis-Chip

Der Bundestag hat die Digitalisierung der Fluggastabfertigung beschlossen. Private Luftfahrtunternehmen dürfen künftig Daten aus Pässen und Ausweisen auslesen. Trotz Kritik von Datenschützern und Opposition betonen Befürworter den Komfortgewinn.

Der Bundestag hat am Freitag nach einer 30-minütigen Aussprache den Gesetzentwurf der Bundesregierung zur Ermöglichung der digitalen Fluggastabfertigung beschlossen. Die Koalitionsmehrheit folgte damit einer Empfehlung des Verkehrsausschusses, der die Pläne zuvor mit den Stimmen von CDU/CSU, SPD und AfD gegen das Votum der Grünen und der Linken durchgewinkt hatte. Durch die Anpassung einer Reihe von Gesetzen wie dem Luftverkehrs-, Pass- und Aufenthaltsgesetz wird der Prozess der Passagierabfertigung an deutschen Flugplätzen digitalisiert. Fluglinien, Flughäfen und Bodenabfertigungsdienstleistern wird es so künftig erlaubt, Daten direkt aus dem Chip von Reisepässen oder Personalausweisen auszulesen, um digitale Check-ins und automatisierte Boarding-Prozesse zu ermöglichen.

Die Bundesregierung verspricht sich von der Reform eine erhebliche Vereinfachung und Beschleunigung der Abläufe für Passagiere auf freiwilliger Basis. Zudem soll eine integrierte Echtheitsprüfung die Nutzung gefälschter Dokumente erschweren. Laut dem Entwurf wird eine sichere, datenschonende Datenverarbeitung im nationalen Rahmen gewährleistet. Reisende sollen zugleich weiterhin das Recht behalten, sich für die reguläre, analoge Abfertigung zu entscheiden.

Der Branchenverband Bitkom begrüßte den Beschluss umgehend. Hauptgeschäftsführer Bernhard Rohleder meinte, das Gesetz mache den Flugverkehr komfortabler, spare Zeit und stärke die Wettbewerbsfähigkeit des Luftfahrtstandorts Deutschland. Für Reisende bedeute dies auf Wunsch einen schnellen Weg durch die Kontrollen per Gesichtserkennung ohne das Suchen nach Ausweis und Bordkarte. Da der Chipeinsatz freiwillig sei und klare Löschfristen existierten, sei ein rechtssicherer Rahmen geschaffen worden.

Der Verkehrsausschuss hatte am Vortag noch eine spezifische Änderung in die Vorlage eingebracht. Diese betrifft den neuen Paragrafen 86b des Aufenthaltsgesetzes und stellt klar, dass das Verfahren allen Drittstaatsangehörigen offensteht, die einen tauglichen, mit einem Chip ausgestatteten Pass besitzen. Eine Beschränkung auf Schweizer Pässe ist damit vom Tisch. Da jedoch im Schengen-Raum nur Schweizer Bürger mit einem Personalausweis statt eines Passes reisen dürfen, bleibt das Auslesen von ID-Karten auf Staatsangehörige der Eidgenossenschaft beschränkt.

Ferner hat der Ausschuss den Begriff „Pass“ statt „Reisepass“ gewählt, damit auch Dienst- und Diplomatenpässe sowie entsprechende Passersatzpapiere erfasst werden. Die Gesetzgebungskompetenz begründet der Bund mit seiner Zuständigkeit für das Pass- und Ausweiswesen nach dem Grundgesetz.

Das Vorhaben war im Vorfeld hochgradig umstritten und blickt auf eine lange Vorgeschichte zurück. Schon 2024 lief der damalige Bundesdatenschutzbeauftragte Ulrich Kelber Sturm gegen die Pläne, die ursprünglich im vierten Bürokratieentlastungsgesetz verankert werden sollten. Kelber warnte vor massiven Missbrauchsrisiken, da erstmals nichtöffentliche Stellen ermächtigt würden, auf hoheitlich angefertigte biometrische Lichtbilder in amtlichen Pässen zuzugreifen. Diese Gefahr stehe außer Verhältnis zu einem vermeintlich verbesserten Reiseerlebnis. Technische Schutzmaßnahmen könnten das Risiko nicht ausräumen.

Nach den Plänen der Regierung wird das aus dem Chip ausgelesene biometrische Foto mit einer am Flugplatz erstellten Bildaufnahme des Passagiers abgeglichen. Dieses Live-Bild wird in ein biometrisches Muster umgewandelt und muss spätestens drei Stunden nach dem Abflug wieder gelöscht werden. Die Exekutive rechnet mit rund 37,9 Millionen privaten Flugreisen pro Jahr und beziffert den Zeitgewinn auf magere eine Minute je Fluggast. In der Summe soll dies die Bürger zwar um jährlich rund 631.500 Stunden entlasten. Doch Kritiker bezweifeln den Nutzen. Kelber argumentierte, dass das Auslesen der maschinenlesbaren Zone, das Privaten schon länger erlaubt ist, kaum langsamer sei. Zudem führe die Freigabe hoheitlicher Daten für rein optionale Komfortleistungen von Firmen zu einer gefährlichen Verschiebung des Nutzungsregimes und wecke Begehrlichkeiten bei anderen Wirtschaftszweigen.

Auch im parlamentarischen Verfahren stieß das Gesetz auf heftigen Widerstand. Die Grünen kritisierten im Ausschuss, dass eine sensible Beschränkung aufgeweicht werde, wonach Chipdaten bislang nur behördlich genutzt werden durften. Dass die Koalition eine Expertenanhörung verweigerte, stieß Gegner ebenfalls übel auf. Die Links-Fraktion äußerte ebenfalls datenschutzrechtliche Bedenken und warnte vor einer unverhältnismäßigen biometrischen Überwachungsinfrastruktur an Flughäfen, die vor allem dem Zweck diene, die Fluggesellschaften von Personalkosten zu entlasten.

Beide Oppositionsfraktionen bezweifeln zudem, dass die im Gesetz verankerte Freiwilligkeit in der Praxis Bestand haben wird. Wenn Passagiere bei einer Verweigerung der digitalen Abfertigung mit erheblich längeren Wartezeiten rechnen müssten, werde der organisatorische Druck die Wahlfreiheit faktisch aushöhlen. Sogar die AfD-Fraktion, die dem Gesetz letztlich zustimmte, forderte im Vorfeld vergeblich verbindliche Garantien für eine gleichwertige analoge Abfertigung sowie eine Verlängerung der Datenlöschungsfrist bis zur Landung am Zielflughafen. Die Befürworter von CDU/CSU verwiesen dagegen auf Einsparungen von 63 Millionen Euro für die Luftfahrtwirtschaft. Sie erklärten, dass die technischen Möglichkeiten endlich genutzt werden müssten, um den Luftfahrtstandort Deutschland wieder attraktiver zu machen.

Stefan Krempl

Digitaler Fingerabdruck im Kopf: Wie KI sensible Hirndaten schützen soll

Das Fraunhofer-Projekt Nemo will einen Weg gefunden haben, wie sich medizinisch wertvolle EEG-Daten datenschutzkonform für Open Science anonymisieren lassen, ohne ihren Nutzen zu verlieren.

Was verrät unser Gehirn eigentlich über uns? Die Aufzeichnung der Hirnaktivität über ein Elektroenzephalogramm (EEG) ist in der modernen Medizin und Wissenschaft zu einem unverzichtbaren Werkzeug geworden. Die feinen elektrischen Signale, die an der Kopfhaut gemessen werden, bergen einen enormen Schatz an Informationen. Hochentwickelte Systeme der Künstlichen Intelligenz sind heute in der Lage, aus diesen komplexen Biosignalen medizinische Erkenntnisse zu gewinnen. So lassen sich in den Mustern oft sehr frühe Hinweise auf folgenschwere neurodegenerative Erkrankungen identifizieren, noch bevor erste klinische Symptome sichtbar werden. Doch genau dieser unschätzbare Wert für die medizinische Forschung bringt eine gravierende Schattenseite mit sich, die Fachleute zunehmend alarmiert.

Die individuellen Datenmuster sind so einzigartig, dass sie unverkennbare Rückschlüsse auf die jeweilige Person zulassen. Die Wissenschaft spricht in diesem Zusammenhang von sogenannten "Brainprints", also einem unverkennbaren Abdruck des Gehirns. Er funktioniert ähnlich individuell wie ein klassischer digitaler Fingerabdruck.

Diese Entdeckung stellt die medizinische Gemeinschaft vor ein Dilemma. Auf der einen Seite steht der Wunsch, im Sinne von Open Science große Datensätze frei zugänglich zu machen, um die Entwicklung von Diagnosewerkzeugen zu beschleunigen. Andererseits enthält ein solches EEG hochgradig sensible und schützenswerte Informationen. Studien zu EEG-Signalen im Ruhe- und Schlafzustand belegen, dass sich aus ihnen weitreichende Diagnosen wie Schlafstörungen, Autismus-Spektrum-Störungen oder gar Anzeichen von Alkoholismus ablesen lassen. Wenn diese Daten ungeschützt in die falschen Hände geraten, droht der gläserne Patient.

Um dieses Spannungsfeld aufzulösen, riefen Forscher vor drei Jahren das Projekt Nemo ins Leben. Die Abkürzung steht für die Nicht-Identifizierbarkeit von Elektroenzephalogrammen und vergleichbaren Sensorsignalen aus medizinischer Versorgung für Open Science. Mit Unterstützung vom Bundesforschungsministerium widmete sich das Konsortium der Aufgabe, persönliche Identifikationsmerkmale aus den Messungen zu tilgen. Die medizinisch relevanten Kerninformationen für spezifische Auswertungen sollten dabei voll erhalten bleiben.

Wie akut das Risiko einer Re-Identifikation im Alltag tatsächlich ist, demonstrierten die Experten für technischen Datenschutz am Hauptsitz des Fraunhofer-Instituts für Digitale Medientechnologie (IDMT) in Ilmenau. Die Forschenden entwickelten im Rahmen des Projekts ein eigenes maschinelles Lernverfahren, das sie darauf trainierten, die persönlichen Muster in komplexen Biosignalen zu erlernen. Die eigens programmierte KI war damit in der Lage, die Individuen mit einer Treffgenauigkeit von über achtzig Prozent in völlig anderen Datensätzen wiederzuerkennen.

In der Praxis führt das zu einer erheblichen Sicherheitslücke. Wenn anonymisiert geglaubte EEG-Daten im Zuge wissenschaftlicher Veröffentlichungen mit dem Klarnamen der Datenspender an anderer Stelle verknüpft werden können, lassen sich die intimsten medizinischen Profile mühelos einer realen Person zuordnen. Der Ilmenauer Datenschutzexperte Thomas Köllmer betont daher die dringende Notwendigkeit besonderer Schutzmaßnahmen. Die Lösung des Teams bestand in der Entwicklung neuartiger KI-Algorithmen, die die sensiblen EEG-Aufzeichnungen gezielt verändern. Diese Transformation sorgt dafür, dass die charakteristischen, persönlichen Merkmale des Brainprints verwischt werden. Der medizinische Nutzen für die gewählten Anwendungsfelder bleibt dem IDMT zufolge aber gewahrt.

Die praktische Machbarkeit dieses datenschutzfreundlichen Ansatzes demonstrierte das Projektkonsortium am konkreten Beispiel der automatisierten Schlafphasenanalyse. Für diese Validierung zeichnete die Abteilung für mobile Neurotechnologien des IDMT in Oldenburg verantwortlich, die das Gesamtprojekt auch koordinierte. Die dortigen Forschenden brachten langjährige Expertise in der Entwicklung mobiler EEG-Systeme mit und lieferten die praxisnahen Einsatzszenarien. Laut Gruppenleiterin Insa Wolf gewinnen solche mobilen Technologien außerhalb von Labor und Klinik rasch an Bedeutung und halten Einzug in den breiten Consumer-Markt, etwa in Form von Smart-Wearables zum privaten Schlafmonitoring. Gerade vor dem Hintergrund dieses Marktes und des enormen Informationsreichtums der Daten müssten Risiken und Chancen im Gesundheitsbereich genau abgewogen werden. Wolf fordert daher, das technisch Mögliche im Sinne des Datenschutzes auch voll auszuschöpfen.

Im Projekt wurden die Biosignale letztlich so präzise transformiert, dass eine zuverlässige Klassifikation der Schlafphasen und die Identifikation feiner neurophysiologischer Muster wie der sogenannten Schlafspindeln für automatisierte Screenings weiterhin fehlerfrei möglich waren, ohne die Identität des Schläfers preiszugeben. Die dafür notwendigen klinischen Schlafdaten stammten von der Christian-Albrechts-Universität zu Kiel und dem Universitätsklinikum Schleswig-Holstein. Die Kieler Fachleute brachten zudem ihr Wissen zur Interpretation medizinischer Daten und zum sicheren Datenaustausch über die Datenintegrationszentren der Medizininformatik-Initiative in das Konsortium ein.

Um sicherzustellen, dass die theoretischen Ansätze den realen Anforderungen von Wissenschaft und Praxis standhalten, haben die Projektpartner frühzeitig externe Akteure eingebunden. In Zusammenarbeit mit dem Klinischen Innovationszentrum für Medizintechnik Oldenburg (Kizmo) führten sie in verschiedenen Projektphasen intensive Stakeholder-Interviews und Workshops durch. Die Krönung der dreijährigen Arbeit bildet ein technologischer Demonstrator, der in Kooperation mit der Firma Ascora  als funktionaler Proof-of-Concept realisiert wurde. Diese Plattform veranschaulicht mittels Experten-Reviews plastisch, wie die Anonymisierungsprozesse ablaufen und welche konkreten Auswirkungen die Filterung auf die verschiedenen medizinischen Anwendungsszenarien hat.

Mit dem offiziellen Projektabschluss im Dezember 2025 hat das Nemo-Konsortium nach eigenen Angaben den Nachweis erbracht, dass die sichere Anonymisierung von komplexen Biosignalen keine Utopie mehr ist. Dennoch sehen die beteiligten Wissenschaftler das Erreichte nur als Anfang. Sie stufen die kontinuierliche Weiterentwicklung dieser Anonymisierungsansätze als erforderlich ein, um das Vertrauen der Bevölkerung in digitale Gesundheitsanwendungen zu stärken. Nur wenn Patienten sich darauf verlassen könnten, dass ihre Gehirndaten vor Missbrauch geschützt sind, lasse sich der Weg für eine breite, transparente Datenverfügbarkeit im Sinne einer modernen Open Science für Forschung und Lehre ebnen.

Stefan Krempl

Einfachere Meldung von Datenlecks: EU-Datenschützer stellen Formular für Pannen bereit

Der Europäische Datenschutzausschuss will die Bürokratie bei Meldungen von Datenpannen reduzieren. Er warnt vor einer Aufweichung des Datenschutzbegriffs.

Die obligatorische Meldung von Datenpannen stellt Unternehmen in der EU regelmäßig vor erhebliche bürokratische Herausforderungen. Wenn sensible Informationen durch Cyberangriffe, technische Fehler oder menschliches Versagen in falsche Hände geraten, tickt die Uhr: Nach Artikel 33 der Datenschutz-Grundverordnung (DSGVO) müssen solche Vorfälle innerhalb von 72 Stunden an die zuständigen Aufsichtsbehörden gemeldet werden. Bislang kocht dabei jedoch fast jedes EU-Land sein eigenes Süppchen, was zu einem unübersichtlichen Flickenteppich aus unterschiedlichen Formularen und nationalen Prozessen führt.

Diesem Zustand will der Europäische Datenschutzausschuss (EDSA) nun ein Ende setzen. Die Institution hat ein einheitliches Standardformular für Datenpannen-Meldungen auf den Weg gebracht, das die Abläufe europaweit harmonisieren, strukturieren und vereinheitlichen soll.

Das geplante gemeinsame Meldeformular ist ein direkter Ausfluss der sogenannten Helsinki-Erklärung des EDSA. Deren Ziel ist es, die Einhaltung der DSGVO-Vorgaben im Alltag zu erleichtern und eine konsistente Durchsetzung des Datenschutzrechts über alle Ländergrenzen hinweg sicherzustellen. Die Struktur des Entwurfs ist so konzipiert, dass sie sowohl betroffenen Organisationen als auch den nationalen Datenschutzbehörden als Richtschnur dient. Durch vordefinierte Auswahlmöglichkeiten und präzise Ausfüllhilfen soll garantiert werden, dass alle rechtlich geforderten Informationen auf Anhieb korrekt erfasst werden. Das spart im Ernstfall wertvolle Zeit.

Vor allem kleinere und mittlere Unternehmen (KMU), die weder über eine eigene Rechtsabteilung noch über dedizierte Datenschutzbeauftragte verfügen, dürften von dieser Standardisierung profitieren. Sie können so kostspielige externe Rechtsberatungen bei der Erstmeldung eher vermeiden. Die Behörden wiederum sind imstande, die eingehenden Fälle durch die strukturierte Aufbereitung schneller zu bewerten und zu koordinieren. Bis zum 5. August 2026 befindet sich das Formular in der öffentlichen Konsultationsphase, in der Verbände und Experten Feedback einreichen können. Danach soll der finale Zeitplan zur praktischen Umsetzung festgelegt werden.

Die Harmonisierung bedeutet nicht, dass die Hüter der Privatsphäre der EU-Bürger bereit sind, bei den inhaltlichen Standards Abstriche zu machen. Das wurde bei einem jüngsten Treffen des EDSA mit Michael McGrath, dem EU-Kommissar für Demokratie, Justiz, Rechtsstaatlichkeit und Verbraucherschutz, deutlich. Im Zentrum der Debatte stand dabei der sogenannte Digital-Omnibus, ein Gesetzespaket zur digitalen (Ent-)Regulierung.

Die Datenschutzbeauftragten begrüßen viele der vorgeschlagenen bürokratischen Erleichterungen ausdrücklich Eine der vorgesehenen Änderungen geht ihnen aber entschieden zu weit. Das betrifft die vorgeschlagenen Anpassungen bei der Definition von personenbezogenen Daten. Der EDSA warnt eindringlich davor, diese aufzuweichen. Ein solcher Schritt berge das Risiko, das Schutzniveau für die Bürger erheblich zu schwächen.

Die Vorsitzende des EDSA, Anu Talus, stellt klar, dass die digitalen Ökosysteme sich zwar in einem beispiellosen Tempo verändern. Eine Vereinfachung der Regeln dürfe aber nie zulasten der Grundrechte gehen. Ein menschenzentrierter Ansatz, der Innovation mit Würde und Effizienz mit Vertrauen verbindet, müsse das Fundament bleiben.

Neben den gesetzlichen Definitionen stand die praxisnahe, behördenübergreifende Zusammenarbeit im Fokus des Austauschs. Angesichts der zunehmenden Verflechtung digitaler Märkte gewinnt die Kooperation an Bedeutung, weshalb der EDSA und McGrath Wege ausloteten, wie diese innerhalb der sich wandelnden digitalen Landschaft intensiviert werden kann. Ein weiteres Handlungsfeld des Gremiums bleibt der Schutz von Kindern im Netz. Der EDSA arbeitet derzeit an umfassenden Leitlinien zur Verarbeitung von Kinderdaten. In diesem Kontext fand auch ein strategisches Treffen mit Vertretern der Europäischen Kommission für Online-Kindersicherheit statt.

Parallel dazu treibt das Gremium die Regulierung politischer Werbung voran. Hierzu wurden Fortschritte bei den Leitlinien erzielt, die den Einsatz personenbezogener Daten für gezieltes Microtargeting im Vorfeld von Wahlen streng limitieren sollen. ESchließlich betonten die Kontrolleure, dass der europäische Datenschutz im globalen Kontext nur dann stark sein kann, wenn auch der internationale Datenverkehr sicher gestaltet und die Kooperation mit Drittstaaten ausgebaut wird. All diese Pläne stehen und fallen jedoch mit den Ressourcen vor Ort. Der EDSA richtete daher einen Appell an die Mitgliedstaaten, dass eine angemessene Finanzierung und personelle Ausstattung der Datenschutzbehörden essenziell ist, um ihre Aufgaben ordnungsgemäß zu erfüllen.

Stefan Krempl

Eine Wallet für ganz Europa: EU-Normungsinstitut legt Basis für digitale EU-Identität

Mit den ersten Standards des ETSI für die EUDI-Wallet biegt das Großprojekt auf die Zielgerade ein. Anfang 2027 soll die digitale Brieftasche in Deutschland starten.

Die Vorstellung klingt verlockend: Ein digitaler Griff zum Smartphone genügt, um sich im Netz zweifelsfrei auszuweisen, Verträge rechtsgültig zu unterzeichnen oder den Bildungsabschluss digital vorzulegen. Was lange nach Zukunftsmusik klang, nimmt in Brüssel nun konkrete Formen an. Mit der European Digital Identity Wallet (EUDI) plant die EU nicht weniger als eine Revolution der digitalen Infrastruktur für rund 450 Millionen Bürger. Das Europäische Institut für Telekommunikationsnormen (ETSI) hat jetzt das erste umfassende Paket an technischen Standards für die europäische Brieftasche vorgelegt.

Dieser Schritt markiert den Übergang von der rein politischen Willenserklärung zur technologischen Realität. Denn damit die digitale Geldbörse reibungslos funktionieren kann, müssen im Hintergrund unzählige Rädchen ineinandergreifen. Das nun veröffentlichte Regelwerk umfasst mehr als 24 technische Spezifikationen und bildet das unsichtbare Fundament, auf dem die Wallet ruhen soll. Die Richtlinien definieren sensible Bereiche wie die Profile für Wallet-Zertifikate, Protokolle für das Fernsignieren von Dokumenten, Verfahren zur Identitätsprüfung sowie Vorgaben für die langfristige und sichere Aufbewahrung von Daten.

Im Kern geht es bei der EUDI-Wallet darum, den Alltag der Menschen zu vereinfachen, ohne dabei Abstriche bei der Sicherheit zu machen. Künftig soll jeder Mitgliedstaat seinen Einwohnern mindestens eine solche Wallet zur Verfügung stellen. Das Einsatzspektrum reicht weit über Behördengänge hinaus. Ob beim Online-Banking, im Gesundheitswesen, bei der Buchung von Reisen oder an Universitäten: Die Wallet soll Passwörter überflüssig machen und den grenzüberschreitenden Zugriff auf öffentliche wie private Dienste ermöglichen. Ein in Deutschland ausgestellter digitaler Nachweis wird damit auch in Frankreich oder Spanien ohne bürokratische Hürden anerkannt.

Trotz aller Bequemlichkeit steht das Thema Datensicherheit an oberster Stelle, da eine zentrale digitale Identität naturgemäß Begehrlichkeiten weckt. Die ETSI-Entwickler unterstreichen daher, dass die Architektur auf starker Kryptografie und dem Prinzip der Datenminimierung basiere. Nutzer behielten die volle Kontrolle darüber, welche Informationen sie teilen. Wenn etwa an einer Kinokasse oder im Netz das Alter nachgewiesen werden müsse, übermittele die Wallet lediglich die Bestätigung, dass die Person alt genug ist – das genaue Geburtsdatum oder der Name bleiben auf Wunsch verborgen.

Nick Pope, Vorsitzender des zuständigen ETSI-Komitees, sieht die Wallet an einer entscheidenden Schnittstelle. Die Organisation bringe ihre jahrelange Expertise in den Bereichen Cybersicherheit, elektronische Signaturen und vertrauenswürdiges Datenmanagement ein, um digitale Interaktionen in Europa so einfach und verlässlich wie möglich zu machen.

Das Projekt ist mit der aktuellen Veröffentlichung nicht abgeschlossen.  2026 und 2027 wird das ETSI-Komitee die Spezifikationen in vollwertige europäische Normen überführen. Dabei fließen kontinuierlich Erkenntnisse aus bereits laufenden, großflächigen Pilotprojekten ein, in denen die Wallet in den Bereichen Fahrzeugregistrierung, Reisen und Bankwesen erprobt wird. Um den Austausch zwischen den verschiedenen Akteuren zu fördern, veranstalten ETSI und das Europäische Komitee für Normung (CEN) im Herbst 2026 einen gemeinsamen Workshop. Auch für die Bürger in Deutschland wird es bald konkret, denn der ambitionierte Zeitplan steht: Anfang 2027 soll die Umsetzung der EUDI-Wallet hierzulande startklar sein.

Stefan Krempl

Digital-Gipfel in Hamburg: Der Datenschutz soll nicht länger immer nur „bremsen“

Die Digitalminister von Bund und Ländern wollen den Datenschutz radikal zum „Ermöglicher“ umbauen , die digitale Ausweispflicht vereinfachen und Innovationen mehr Raum geben.

Die 5. Digitalministerkonferenz (DMK) am Mittwoch in Hamburg soll einen Wendepunkt für die deutsche Digitalpolitik markieren. Unter dem Vorsitz der Hansestadt haben die Ressortchefs von Bund und Länder die Weichen gestellt, um Deutschland aus dem Dickicht bürokratischer Hemmnisse und fragmentierter IT-Strukturen zu führen. Im Zentrum der insgesamt neun gefassten Beschlüsse soll eine Art Befreiungsschlag für die Datenverarbeitung sowie eine Neuausrichtung der digitalen Identitäten stehen. Ein bayerischer Vorstoß zur Identifikationspflicht in sozialen Medien scheiterte am Widerstand der SPD-geführten Länder und des FDP-geführten Hauses in Sachsen-Anhalt. Bei den Kernfragen der Verwaltungsmodernisierung herrschte dagegen weitgehende Einigkeit.

Der wohl weitreichendste Beschluss betrifft einen Paradigmenwechsel im Datenschutz. Die Minister fordern eine Abkehr von der bisherigen deutschen Praxis, die oft durch eine übermäßige Risikoaversion und eine restriktive Auslegung unbestimmter Rechtsbegriffe geprägt sei. Bisher galt in Deutschland häufig das Prinzip des Verbots mit Erlaubnisvorbehalt in seiner strengsten Form, was digitale Innovationen und datengetriebener Geschäftsmodelle im internationalen Wettbewerb massiv ausbremste. Damit soll nun Schluss sein. Der Datenschutz soll künftig nicht mehr als Hindernis, sondern als Ermöglicher der Digitalisierung fungieren. Ziel ist eine risikobasierte und innovationsfreundliche Praxis, die den Schutz persönlicher Daten mit der notwendigen Nutzung in ein neues Gleichgewicht bringt.

Konkret bedeutet dieser Kurswechsel den Abbau zahlreicher bürokratischer Hürden. So sollen Unternehmen und Verwaltungen bei der Verarbeitung pseudonymisierter Daten oder bei rein internen Prozessen mit geringem Risiko spürbar entlastet werden. Die Minister sprechen sich zudem dafür aus, pauschale Präventivverbote durch ein abgestuftes Regelungssystem zu ersetzen, das sich am tatsächlichen Risiko für die Betroffenen orientiert.

Ein Herzstück dieser Reform soll die Neuordnung der Datenschutzaufsicht nach dem „Einer-prüft-für-Alle“-Prinzip sein. Um den föderalen Flickenteppich aus unterschiedlichen Auslegungen zu beenden, wird demnach künftig eine Behörde zentrale Fragen federführend klären, deren Prüfungsergebnisse dann von den anderen Ländern anerkannt werden. Das soll vor allem bei bundesweit eingesetzten IT-Lösungen für Rechtssicherheit sorgen und verhindern, dass digitale Projekte durch widersprüchliche Auflagen der Aufsichtsbehörden blockiert werden.

Besonders für die öffentliche Verwaltung und den Einsatz von Künstlicher Intelligenz verspricht dieser neue Ansatz eine Beschleunigung. Um Innovationen zu fördern, fordert die Konferenz die Einrichtung regulatorischer Erprobungsräume, sogenannter „Regulatory Sandboxes“. In diesen Experimentierklauseln sollen neue Anwendungen unter kontrollierten Bedingungen getestet werden können, ohne sofort an der vollen Härte formaler Datenschutzvorgaben zu scheitern. Auch kleine und mittlere Unternehmen sowie Startups sollen profitieren: Das bisherige „One size fits all“-Prinzip soll fallen und durch Hilfestellungen wie Muster-Datenschutzerklärungen oder vorgeprüfte Vertragsbausteine für KI-Systeme ersetzt werden.

Ferner widmete sich die Konferenz der Baustelle der digitalen Identitäten. Die bisherige Landschaft aus 16 verschiedenen Länder-Nutzerkonten und diversen Fachportalen hat bei den Bürgern eher für Verwirrung als für Akzeptanz gesorgt. Die Minister drängen nun darauf, die BundID zügig zu einer universellen DeutschlandID weiterzuentwickeln. Diese soll als zentrales Bürgerkonto der einheitliche Zugangspunkt für alle Verwaltungsleistungen werden. Ein kritischer Punkt bleibt dabei die Nutzerfreundlichkeit der Online-Ausweisfunktion (eID). Da viele Bürger an der PIN-Eingabe oder der notwendigen AusweisApp scheitern , fordern die Minister den Einsatz moderner Authentifizierungsverfahren wie Face-ID oder biometrische Merkmale, die eine deutlich höhere Akzeptanz genösse.

Ein wichtiger Baustein in diesem neuen Ökosystem wird die „European Digital Identity Wallet (EUDI-Wallet) sein. Diese App soll es ermöglichen, sich nicht nur online, sondern auch offline auszuweisen und Dokumente selbstbestimmt zu verwalten. Die Konferenz verlangt hier vom Bund eine klare Zielarchitektur. Diese müsse festlegen, wie BundID, DeutschlandID und die europäische Wallet ineinandergreifen, um Medienbrüche zu vermeiden. Zudem regt die DMK die Prüfung der umstrittenen Videoldent-Verfahren für bestimmte Verwaltungsleistungen an, damit der Gang zum Amt für die Freischaltung digitaler Funktionen oder das manuelle Zurücksetzen einer vergessenen PIN endgültig der Vergangenheit angehört. Letztlich soll dieser Kulturwandel in Verwaltung und Politik dazu führen, dass der Staat digital ebenso einfach und sicher erreichbar wird wie eine moderne Online-Bank.

Stefan Krempl