Tätigkeitsbericht zum Datenschutz: Ulrich Kelber fordert Überwachungsmoratorium

Ulrich Kelber hat für den Gesetzgeber eine lange Liste an Hausaufgaben: BND-Gesetz, ePrivacy-Verordnung, Gesundheitsdaten und vieles mehr. In seinem gestern an Bundestagspräsident Wolfgang Schäuble übergebenen Jahresbericht [PDF] fordert der Bundesdatenschutzbeauftragte nicht nur eine Überprüfung aller Überwachungsgesetze, sondern kritisiert auch diverse laufende Gesetzgebungsverfahren.

„Wie schon in den letzten Jahren wurden auch in diesem Berichtszeitraum erneut viele Gesetze auf den Weg gebracht, die den Sicherheitsbehörden weitergehende Eingriffsbefugnisse einräumen. Dieser Trend wird allerdings nicht von einer parallelen Evaluierung der bereits bestehenden Kompetenzen der Behörden begleitet“, konstatiert Kelber.

Unter Verweis auf die vom Bundesverfassungsgericht angemahnte „Überwachungs-Gesamtrechnung“ kritisiert der Datenschutzbeauftragte das Zusammenspiel der vielen unterschiedlichen Überwachungsmöglichkeiten. Bevor die sicherheitsbehördlichen Kompetenzen weiter ausgebaut werden, müsse der Gesetzgeber prüfen, welche bereits bestehenden Befugnisse überhaupt noch benötigt würden. Eine solche Evaluation der Sicherheitsgesetze in Verbindung mit einem Moratorium könne das Vertrauen der Bevölkerung in den Schutz ihrer Grundrechte stärken.

Gesundheitsminister Spahn kommt nicht gut weg

Der Bericht beschreibt Kelbers erstes Jahr als Bundesbeauftragter für den Datenschutz und die Informationsfreiheit. Seit Januar 2019 steht der ehemalige SPD-Bundestagsabgeordnete und Staatssekretär der Bonner Behörde vor. Im Vergleich zu seiner Vorgängerin Andrea Voßhoff legt der gelernte Informatiker einen deutlich kommunikativeren Stil an den Tag: Mit Pressemitteilungen, Briefen und Interviews mischt er sich regelmäßig in die politischen Datenschutzdebatten ein.

Und so spart er auch in seinem Jahresrückblick nicht mit Kritik. Einen Minister hebt Kelber dabei besonders hervor: 23 Gesetze habe er allein aus dem Hause von Gesundheitsminister Jens Spahn überprüfen müssen, kaum eines war ohne Mängel.

Der Preis für die Fortschritte bei der elektronischen Patientenakte etwa sei der Verzicht auf grundlegende Datenschutzregelungen. „Das hat in diesem besonders sensiblen Datenbereich fatale Folgen für die Patientinnen und Patienten“, so Kelber. Auch bei neu eingeführten Gesundheitsregistern wie dem Implantateregister konstatiert Kelber einen „zu laxen Umgang mit Patientendaten.“

In einer Pressemitteilung zur Veröffentlichung des Tätigkeitsberichts appelliert Kelber an die Bundesregierung, aus dem Prozess um die Corona-Warn-App zu lernen:

Wir konnten in den letzten Monaten sehen, wie hastige Initiativen und vorschnelle Gesetzesentwürfe das Vertrauen der Bürgerinnen und Bürger erschüttern. Ich würde mir wünschen, dass der Gesetzgeber sich insbesondere bei großen Projekten mit enormen Einfluss auf unsere Gesellschaft die Zeit für intensive Beratung nimmt. Die Digitalisierung im Gesundheitswesen beispielsweise kann nur mit einem hohen Datenschutz- und Datensicherheitsniveau gelingen, denn sie ist auf die Verarbeitung zahlreicher sensibler Gesundheitsdaten ausgerichtet. Hier müssen Gesetze sicherstellen, dass digitalisierte Gesundheitsdaten nicht durch private oder staatliche Stellen missbraucht werden und auch nicht zu Stigmatisierung oder Gesundheitsprofilbildung führen.

Unzufrieden mit Irland

Unzufrieden ist Kelber auch mit der Arbeit seiner Kolleg:innen in den Datenschutzbehörden von Irland und Luxemburg. Die dortigen Aufsichtsbehörden sind federführend für die Verfahren gegen die großen US-Internetkonzerne zuständig, weil diese dort ihre europäischen Hauptsitze haben. Von den zahlreichen Fällen sei zwei Jahre nach Wirksamwerden der Datenschutzgrundverordnung noch keiner abschließend bearbeitet. „Das ist für mich nur schwer verständlich und mehr als ärgerlich“, so Kelber.

Grundsätzlich zeigte sich Kelber mit der Datenschutzgrundverordnung jedoch zufrieden. Sie habe nicht nur die Rechtslage EU-weit (überwiegend) vereinheitlicht, sondern auch das Bewusstsein der Bürger:innen für den Datenschutz gestärkt. Die erhöhten Sanktionsmöglichkeiten hätten zudem das Durchsetzungsvermögen der Aufsichtsbehörden gestärkt.

Er selbst hat diese Gelegenheit gleich genutzt: Im Dezember 2019 verordnete seine Behörde dem Internetunternehmen 1&1 ein saftiges Bußgeld, weil dieses die Daten von Kund:innen zu leicht über die Service-Hotline herausgab. Da 1&1 gegen die Sanktion in Höhe von 10 Millionen Euro geklagt hat, lässt sich dann vermutlich im Jahresbericht 2020 nachlesen, ob das Unternehmen die Strafe wirklich zahlen musste.