"Ernste Bedenken": EU-Datenschutzbehörden nehmen Chatkontrolle komplett auseinander

Die Kritik ist grundlegend, teils vernichtend. Sexualisierte Gewalt gegen Kinder ist „ein besonders schweres und abscheuliches Verbrechen“, schreiben der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) in einer Stellungnahme. Etwas dagegen zu unternehmen, um die Opfer zu schützen, sei ein gemeinsames Ziel der EU. An diesem Punkt hört die Einigkeit der Datenschützer mit der EU-Kommission aber offenbar auf. In ihrem 36-seitigen Papier kritisieren sie aufs Schärfste den Gesetzentwurf der Kommission zur Bekämpfung sexualisierter Gewalt gegen Kinder im Netz.

Der Entwurf der Kommission sieht unter anderem vor, dass Kommunikations- und Hostinganbieter per Anordnung dazu verpflichtet werden können, auch private Inhalte zu scannen. Dadurch sollen sie Hinweise auf bekannte und bisher unbekannte Darstellungen von sexualisierter Gewalt gegen Minderjährige aufspüren, ebenso wie Anhaltspunkte für Grooming. So bezeichnet man es, wenn etwa Erwachsene Minderjährige anschreiben, um einen sexualisierten Kontakt anzubahnen.

Kern des Grundrechts auf Privatsphäre getroffen

Die EU-Datenschützer:innen haben „ernste Bedenken“, ob die vorgeschlagenen Regeln verhältnismäßig seien, denn sie greifen tief in Grundrechte ein, etwa in das Recht auf Privatsphäre und den Schutz persönlicher Daten. Es gebe Bereiche, in denen der Vorschlag darin „scheitere“, Grundrechte wie Privatsphäre zu schützen. Die Datenschützer:innen warnen vor einer „de facto allgemeinen und wahllosen automatisierten Erfassung“ von Textnachrichten. Eingriffe in die Vertraulichkeit der Kommunikation würden „eher die Regel als die Ausnahme“. Das entspreche nicht den „Anforderungen der Notwendigkeit und Verhältnismäßigkeit“. Der Einsatz der Technologie sei „übertrieben“ und könne gar den „Kern“ des Grundrechts auf Privatsphäre treffen.

Die von der Kommission angedachten Bedingungen, wann Anbieter zur sogenannten Chatkontrolle verpflichtet werden können, sind dem Datenschutzausschuss nicht klar genug. Der Vorschlag lasse „zu viel Raum für potenziellen Missbrauch“. Unklar sei etwa die Festlegung, wann für einen Internet-Dienst ein „signifikantes Risiko“ besteht, für sexualisierte Gewalt genutzt zu werden. Die Kriterien seien eher subjektiv als objektiv. Das würde zu Rechtsunsicherheit führen, zu erheblichen Unterschieden bei der konkreten Umsetzung und sei „nicht akzeptabel“.

Am Ende könnte der Gesetzesvorschlag zur Grundlage für „allgemeines und unterschiedsloses Scannen des Inhalts praktisch aller Arten von elektronischer Kommunikation aller Nutzer“ in Europa werden – und damit die Meinungsfreiheit erheblich einschränken. Denn Nutzer:innen müssten fürchten, dass ihre Kommunikation erfasst wird, selbst wenn sie völlig legale Inhalte teilen. Die Datenschützer:innen warnen ausdrücklich vor „chilling effects“. So nennt man vorauseilenden Gehorsam und Selbstzensur.

Zu hohe Fehlerquoten: Suche nach unbekanntem Material streichen

„Besonders besorgt“ zeigen sie sich über die Kommissionsvorschläge zu bisher unbekannten Darstellungen sexualisierter Gewalt und zu Grooming. Sie verweisen etwa auf die Eingriffstiefe von Technologie, um solche Inhalte zu erkennen – und die damit verbundenen Fehlerquoten. Bei bisher nicht bekanntem Material von möglicherweise sexualisierter Gewalt bleibt etwa die Frage offen, wie eine automatische Erkennung zwischen harmlosen Strandfotos in Familienchats, einvernehmlichem Sexting zwischen Jugendlichen und strafbaren Handlungen unterscheiden soll. Ein Fehler hätte „schwerwiegende Konsequenzen“ für die Betroffenen, die automatisch verdächtigt würden, ein sehr schweres Verbrechen begangen zu haben.

Bei Erkennungssoftware könne es „nachweislich zu Bias und Diskriminierung kommen, weil bestimmte Bevölkerungsgruppen in den Trainingsdaten nicht repräsentiert“ seien. Aus einem geleakten Bericht ging hervor, dass die EU-Kommission um Fehlerquoten bei aktueller Grooming-Erkennung weiß, aber bestimmte Qualitätsanforderungen nicht zur Bedingung machen will. Das hätte vermutlich eine hohe Zahl an falsch verdächtigten Nachrichten zur Folge, die dann auf den Tischen von Ermittler:innen landen würden. Die Datenschützer:innen halten weitere Untersuchungen bei realen Anwendungsfällen für erforderlich, „um die Zuverlässigkeit der vorhandenen Instrumente zu bewerten“.

In ihrer Stellungnahme ziehen EDPB und EDPS daraus einen klaren Schluss. Mit Blick auf Grooming und unbekannten Darstellungen sexualisierter Gewalt schreiben sie: „Diese Maßnahmen sollten aus dem Vorschlag gestrichen werden“.

Gefahr für Verschlüsselung und drohende Alterskontrollen

Ein weiteres Problem ist der Umgang mit Ende-zu-Ende-Verschlüsselung. Dass die Anbieter Nachrichten scannen, die eigentlich nur von den Sender:innen und Empfänger:innen entschlüsselt werden können, ist ein Widerspruch. Es wäre unverhältnismäßig, die Anbieter zu verpflichten, Nachrichten zu entschlüsseln, um Darstellungen sexualisierter Gewalt blockieren zu können, so die Stellungnahme.

Die Datenschützer:innen fordern außerdem ein klares Bekenntnis, „dass nichts in der vorgeschlagenen Verordnung als Verbot oder Schwächung der Verschlüsselung ausgelegt werden sollte“. Sie warnen ausdrücklich davor, dass die Regelungen manche Anbieter dazu bringen könnten, ganz auf Ende-zu-Ende-Verschlüsselung zu verzichten. Statt direkt das Durchleuchten privater Kommunikation anzuordnen, sollten Behörden zunächst auch weniger invasive Maßnahmen verlangen können.

Scharfe Kritik übt die Stellungnahme auch an den Kommissions-Plänen für Alterskontrolle. In Deutschland lässt sich die Volljährigkeit von Nutzer:innen zwar mit der Online-Ausweisfunktion bestätigen, ohne weitere Daten preiszugeben. Solche Technologien gebe es aber nicht für alle EU-Bürger:innen. Die Alternative wären „sehr invasive“ Alterskontrollen, die Nutzer:innen gar davon abhalten könnten, Online-Dienste überhaupt zu nutzen. Andere Formen der Alterskontrolle könnten jung aussehende Erwachsene ausschließen. Offenbar spielen die Datenschützer:innen hier auf Bilderkennungs-Software an, die anhand eines Fotos das Alter einer Person einschätzt.

Warnung vor Überwachung von Sprachnachrichten

In ihrem Papier sprechen die Datenschützer:innen einen bisher kaum beachteten Aspekt der Chatkontrolle an. Der Entwurf der EU-Kommission schließe nicht aus, dass Anbieter auch Audio-Dateien wie etwa Sprachnachrichten und Telefonate durchleuchten müssen. Genau das wäre ihrer Ansicht nach aber „besonders invasiv“ und müsse ausgeschlossen werden.

Klärungsbedarf gebe es außerdem bei der Rolle von Datenschutzbehörden. Laut Kommissionsentwurf sollen sie einbezogen werden, bevor ein Anbieter zur Chatkontrolle verpflichtet wird. Bloß wie? Könnten Datenschutzbehörden per Stellungnahme etwa ein Veto einlegen? Offenbar steht das nicht fest. „Es sollte geklärt werden, welchem Zweck die Stellungnahme in dem Verfahren dient und wie die EU-Zentrale nach Erhalt einer Stellungnahme handeln würde“. Es brauche ein System, um Meinungsverschiedenheiten zu klären.

EDPB und EDPS warnen außerdem, dass zu viele Daten unschuldiger Personen an die Strafverfolgungsbehörden übermittelt werden könnten. Die Schwelle, wann etwa Europol Verdachtsmeldungen erhalten kann, sei zu gering. Die Datenschützer:innen fordern, dass die zuerst zuständige EU-Zentrale „nur personenbezogene Daten an Europol übermittelt, die angemessen und sachdienlich sind und sich auf das unbedingt erforderliche Maß beschränken.“

Massenüberwachung wäre nicht hilfreich

Schließlich zweifeln die Datenschützeri:nnen daran, ob mehr Daten den Ermittler:innen im Kampf gegen sexualisierte Gewalt überhaupt helfen würden. Wer wolle, könne Inhalte auch unabhängig von einem Kommunikationsanbieter selbst verschlüsseln, bevor sie verschickt werden. Wer also Strafbares im Sinn hat, könnte die Chatkontrolle gezielt umgehen. Der Vorschlag könnte so eine „geringere Auswirkung auf die Verbreitung von Missbrauchsmaterial haben als man sich erhoffen würde“. Außerdem sei es nötig, zu untersuchen, ob mehr Hinweise angesichts der „begrenzten Ressourcen von Strafverfügungsbehörden“ überhaupt hilfreich wären.

Auch der deutsche Bundesdatenschutzbeauftragte Ulrich Kelber äußert sich in einer Pressemitteilung zu der Stellungnahme: „Die sogenannte Chatkontrolle bietet kaum Schutz für Kinder, wäre aber Europas Einstieg in eine anlasslose und flächendeckende Überwachung der privaten Kommunikation.“ Er fordert stattdessen „effektive und zielgerichtete Maßnahmen“. Der Entwurf der EU-Kommission geht für den Kelber eindeutig daran vorbei: „Eine anlasslose Massenüberwachung gehört nicht dazu. So etwas kennen wir ansonsten nur aus autoritären Staaten.“