Registermodernisierung und die EU-Kommission: Ein Frontalangriff auf Datenschutz
Fragt eine Behörde künftig nach der Nummer 12345, weiß sie sofort, dass Frank Rosengart gemeint ist – und kann auf Knopfdruck dessen Daten aus sämtlichen staatlichen Registern abrufen. Mit diesem Beispiel beschreibt Rosengart, einer der Sprecher des Chaos Computer Club, was die deutsche Registermodernisierung möglich macht, und begründet damit einen der diesjährigen Big Brother Awards. Zum 26. Mal verleiht der Bürgerrechtsverein Digitalcourage die als „Oscars für Überwachung“ bekannten Negativpreise am Freitag in Bielefeld.
Getroffen hat es Gesetzgeber wie Konzerne: Ausgezeichnet wurden die EU-Kommission für den „Digitalen Omnibus“ und zum zweiten Mal in Folge Bundesinnenminister Alexander Dobrindt (CSU) für eben jene Registermodernisierung. Ebenfalls bedacht wurden die Deutsche Telekom AG für Fusionspläne mit ihrer US-Tochter, die Optikerketten Fielmann und Apollo-Optik für den Vertrieb von Metas Datenbrille sowie die Evangelische Nordkirche für einen verordneten Microsoft-365-Zwang.
Der Preis in der Kategorie „EU/Europa“ erhält die EU-Kommission für ihr Gesetzespaket „Digitaler Omnibus“. Was Brüssel als Vereinfachung verkauft, hält die Jury für einen Frontalangriff auf den europäischen Datenschutz.
Ein Omnibus sei ein Gesetz, das gleich mehrere andere ändert, erklärt Gastlaudator Ralf Bendrath, Referent der Fraktion Grüne/EFA im EU-Parlament und von 2009 bis 2018 Mitarbeiter des DSGVO-Chefverhandlers Jan Philipp Albrecht. Hier gehe es um Änderungen an neun Gesetzen und die Abschaffung von vier weiteren – von der Open Data Directive über Data Governance Act und Data Act bis hin zu Datenschutz-Grundverordnung und E-Privacy-Richtlinie. „Und da geht es wirklich ans Eingemachte“, so Bendrath. Die „Vereinfachungsagenda“ der Kommission erstrecke sich auch auf Lieferkettenverantwortung, Glyphosat oder das Verbrenner-Aus – strukturell solle damit zurückgerollt werden, was in Zeiten progressiver Mehrheiten im Parlament erreicht wurde.
Neudefinition „personenbezogenes Datum“
Kern der Kritik ist die geplante Neudefinition dessen, was als personenbezogenes Datum gilt. Ein Datum, das zwar zu einer Person gehört, bei dem der Verarbeiter aber nicht unmittelbar weiß, wer dahintersteckt, wäre dann für ihn nicht mehr personenbezogen – das Datenschutzrecht griffe nicht mehr. Bendrath, der die Verordnung selbst mitgeschrieben hat und das nach eigenen Worten „persönlich“ nimmt, berichtet von den Reaktionen in Brüssel: „Und das haben uns die Leute aus der Online-Werbewirtschaft hier in Brüssel auch schon ganz offen gesagt. Mit der neuen Definition der Kommission würden Tracking-Cookies oder IP-Adressen für uns nicht mehr als personenbeziehbar gelten und damit gilt die ganze Datenschutz-Grundverordnung für uns nicht mehr“.
Auch das Auskunftsrecht soll eingeschränkt werden: Nutzen Betroffene die erhaltenen Daten anschließend für andere Zwecke als die Prüfung der Datenschutzkonformität, könnte das künftig als Missbrauch gelten – und der Verarbeiter dürfte die Auskunft verweigern, wenn er das absehen kann. „Und das Recht ist schon benutzt worden von zum Beispiel Gewerkschaften. Da haben dann Mitarbeitende bei ihrem Arbeitgeber angefragt, wie viel Überstunden habe ich. Und der Zweck war natürlich nicht Datenschutzkonformität zu checken, sondern die Überstunden verdammt nochmal bezahlt zu kriegen“, sagte Bendrath, der das für absurd hält.
Wer bei Spotify seine Playlisten anfordert, um sie zu einem anderen Anbieter mitzunehmen, könnte künftig abgewiesen werden, ergänzt Rosengart zur Veranschaulichung. Elisabeth Niekrenz verwies auf Schufa-Auskünfte, die man in aller Regel nicht aus Datenschutzinteresse einholt, sondern weil die eigene Bonitätsbewertung zum Lebensproblem geworden ist.
KI-Training und Berechtigtes Interesse
Hinzu kommt ein Freibrief fürs KI-Training, das pauschal als „berechtigtes Interesse“ gelten soll. Im Ministerrat legt die irische Ratspräsidentschaft laut Bendrath noch nach: Sie wolle die Verarbeitung personenbezogener Daten mit KI schlicht immer erlauben – „egal unter welchen Umständen, egal welche Daten, egal für welche Zwecke am Ende“.
Das breche mit der Technikneutralität der DSGVO: „Man sagt ja auch nicht, die Verarbeitung von personenbezogenen Daten auf einer Blockchain ist jetzt immer legal“. Im Parlament haben die Beratungen gerade erst begonnen, knapp 1800 Änderungsanträge liegen vor. Im Ministerrat sei man dagegen schon weit fortgeschritten – dort führt derzeit Irland den Vorsitz, das als besonders Big-Tech-freundlich gilt.
Kommentare