#SmartTV #Tracking #DataBroker #DataBrokerFiles #TX #TVos
https://www.youtube.com/watch?v=dehzLA4kFqM

@bjoernfr
natürlich tun sie das. mindestens der BND
@netzpolitik_feed @br_data

#datenschutz #DatabrokerFiles

Erwerben deutsche Sicherheitsbehörden Datensätze bei externen Datenhändlern? Dazu gibt es von der Bundesregierung keine eindeutige Aussage. Eine erschreckende Recherche von @netzpolitik_feed und @br_data

https://netzpolitik.org/2025/sicherheitsbehoerden-und-databroker-bundesregierung-macht-datenkauf-zum-staatsgeheimnis/

#datenschutz #DatabrokerFiles

Staatsgeheimnis

Sicherheitsbehörden und Databroker: Bundesregierung macht Datenkauf zum Staatsgeheimnis

Die Bundesregierung verweigert Transparenz darüber, ob deutsche Sicherheitsbehörden bei Datenhändlern einkaufen. Die Frage ist brisant, denn für den Kauf gäbe es keine sichere Rechtsgrundlage. Das zeigen Dokumente aus dem Bundestag, die wir exklusiv vorab veröffentlichen.

Diese Recherche entstand in Kooperation mit dem Bayerischen Rundfunk. Sie ist Teil der Databroker Files.

Seit Monaten häufen sich Berichte über menschenfeindliche Übergriffe von Beamt*innen der US-Abschiebebehörde ICE. Sie inhaftieren massenhaft Menschen, die nach dem Willen der Regierung von US-Präsident Donald Trump das Land verlassen sollen. Um sie aufzuspüren, kann die Behörde ein mächtiges Werkzeug nutzen: Mit Tracking-Daten aus der Online-Werbeindustrie kann sie Milliarden Standorte von Handys ausspionieren.

Die Angebote für solche Informationen kommen von Databrokern und darauf spezialisierten Dienstleistern. Gesammelt werden die Daten angeblich nur zu Werbezwecken, doch auch staatliche Stellen können beherzt zugreifen. Kommerzielle und staatliche Überwachung sind weltweit inzwischen eng verwoben.

Neue Dokumente aus dem Bundestag zeigen jetzt: Die Bundesregierung verweigert zwar eine Auskunft darüber, ob deutsche Sicherheitsbehörden auf solche Standortdaten zugreifen – die Möglichkeit schließt sie aber ausdrücklich nicht aus.

Zugleich nährt ein neues Gutachten der Wissenschaftlichen Dienste des Bundestages Zweifel daran, ob staatliche Shoppingtouren bei Databrokern überhaupt rechtmäßig wären: Bei Bundespolizei und Bundeskriminalamt fehlt demzufolge eine Ermächtigungsgrundlage; selbst für die mit weitreichenden Befugnissen ausgestatteten Geheimdienste ist die Rechtslage unklar.

„Wir haben es hier mit einer echten Black Box zu tun“, konstatiert die Bundestagsabgeordnete Donata Vogtschmidt (Die Linke). Sie lehnt es ab, dass Sicherheitsbehörden den Handel mit Werbedaten anheizen. Als „eindeutig rechtswidrig“ bezeichnet Polizeirechtler Mark Zöller von der Ludwig-Maximilians-Universität München​​​​​​​ mögliche Datenkäufe durch Sicherheitsbehörden. Auch Geheimdienstforscher Thorsten Wetzling von der Denkfabrik Interface warnt: Behörden könnten beim Kauf von Datenbanken verfassungswidrig handeln.

Regierung verweigert Transparenz

Über die vielfältigen Gefahren von Handy-Standortdaten aus der Werbeindustrie haben wir in unserer Recherche-Reihe Databroker Files ausführlich berichtet. Anhand echter Datensätze konnten wir zeigen, wie detaillierte Bewegungsprofile auch Millionen Menschen in Deutschland gefährden. Ausspionieren lassen sich sogar Angestellte von Regierung, Militär und Geheimdiensten. Datenschützer*innen gehen davon aus, dass der Datenhandel in der Regel gegen die Datenschutzgrundverordnung (DSGVO) verstößt.

Wie also hält es die Bundesregierung mit Databrokern? Das und mehr wollte die Bundestagsabgeordnete Donata Vogtschmidt durch eine Kleine Anfrage erfahren. Solche Anfragen sind ein Werkzeug, das die Fraktionen im Bundestag nutzen können, um die Regierung zu kontrollieren.

In der Antwort, die wir hier veröffentlichen, stellt die Bundesregierung bei den entscheidenden Fragen keine Transparenz her. Fragen dazu, ob Sicherheitsbehörden wie Bundeskriminalamt (BKA) und Bundespolizei bei Databrokern einkaufen, beantwortet sie nicht. Sie tut dies auch nicht in „eingestufter Form“; das heißt, selbst unter Ausschluss der Öffentlichkeit sollen die Abgeordneten keine Informationen zu einer möglichen Teilnahme am umstrittenen Datenhandel bekommen.

„Auch ein geringfügiges Risiko des Bekanntwerdens derart sensibler Informationen kann unter keinen Umständen hingenommen werden“, rechtfertigt sich die Bundesregierung. Demnach könnten „Täter oder potenzielle Zielpersonen ihr Verhalten anpassen und künftige Maßnahmen dadurch erschweren oder gar vereiteln“. Weiter könnte eine Antwort „fremde staatliche Akteure dazu verleiten, entsprechende Dienste anzugreifen, um die jeweiligen Datenbestände im eigenen Sinne zu manipulieren.“

„Absolut nicht hinnehmbar“

Möglich ist es jedoch durchaus, dass deutsche Sicherheitsbehörden bereits bei Databrokern einkaufen. So schreibt die Regierung:

Die Bundesregierung schließt nicht aus, dass der Bezug von personenbezogenen Daten von Datenhändlern im Einzelfall zur Erfüllung ihrer Aufgaben angemessen sein kann. Dies muss im jeweiligen Einzelfall unter Berücksichtigung der jeweiligen Rechtslage individuell geprüft werden.

Details nennt die Bundesregierung lediglich bei weniger sicherheitsrelevanten Behörden. So kauft etwa das „Bundesamt für Kartographie und Geodäsie“ seit einigen Jahren regelmäßig personenbezogene Daten ​​bei kommerziellen Anbietern. Zum Beispiel bei einem Unternehmen, das nach eigenen Angaben unter anderem Adressen von Arztpraxen, Apotheken und Krankenhäusern anbietet. Solche Daten sind jedoch weitaus weniger brisant als etwa detaillierte Bewegungsprofile von Handy-Nutzenden.

Die größtenteils ausgebliebene Antwort der Bundesregierung auf ihre Kleine Anfrage kritisiert die Abgeordnete Donata Vogtschmidt scharf: „Es ist absolut nicht hinnehmbar, dass die Bundesregierung die Öffentlichkeit im Unklaren darüber lässt, ob und in welcher Form Sicherheitsbehörden persönliche Daten einkaufen, die die Menschen vermeintlich freiwillig für Werbezwecke freigegeben haben.“ Die Digitalpolitikerin fordert ​“​​​​​Transparenz darüber, wie und auf welcher Rechtsgrundlage deutsche Sicherheitsbehörden am Markt für kommerzielle Geschäfte mit persönlichen Daten beteiligt sind“.

Weiter kritisiert die Abgeordnete, dass der riesige und in der Öffentlichkeit kaum bekannte Markt für personenbezogene Daten entstehen konnte: „Wie konnte es überhaupt dazu kommen?“ Eine Reform der DSGVO wäre wichtig, so Vogtschmidt, würde das Problem aber nicht an der Wurzel packen. Als solche benennt sie den Kapitalismus und das unausgeglichene Kräfteverhältnis zwischen Konzernen und Betroffenen. Ihre Forderung: „Wir brauchen Online-Plattformen im Gemeinwohl ohne Profitabsichten.“

Mehr Transparenz in anderen Staaten

Während die Bundesregierung jeglichen Einblick in mögliche Datenkäufe durch Sicherheitsbehörden für ein Risiko hält, liefern andere Staaten mehr Transparenz. Einkäufe von Handy-Standortdaten durch US-Behörden wurden spätestens ab dem Jahr 2020 schrittweise bekannt. Im November stellte ein Bericht des Kontrollgremiums PCLOBheraus, dass das FBI Kunde bei kommerziellen Datensammlern wie Clearview AI und Babel Street ist.

In den Niederlanden beaufsichtigt das Gremium CTIVD die Geheimdienste. Bereits dessen Bericht aus dem Jahr 2018 handelte davon, wie Agent*innen kommerzielle Datensätze erworben haben. Auch in Norwegen bestätigte das parlamentarische Kontrollgremium EOS-Committee 2023 in einem öffentlichen Bericht, dass der militärische Geheimdienst massenhaft personenbezogene Daten gekauft hat. Die Aufseher*innen sparten nicht mit Kritik, weil der Behörde für das Daten-Shopping eine Rechtsgrundlage fehlte.

Eine grundsätzliche Kritik am Handel mit personenbezogenen Daten aus dem Ökosystem der Online-Werbung ist, dass er in der Regel gegen das europäische Datenschutzrecht verstößt. Die Daten aus dem Angebot von Databrokern haben oftmals schon eine lange Reise hinter sich, noch bevor Sicherheitsbehörden überhaupt ins Spiel kommen. Bereits die Erhebung, etwa durch Apps und Tracking-Firmen, kann rechtswidrig sein, weil die Einwilligung der Nutzer*innen oft nicht informiert erfolgt und somit ungültig ist. Der Weiterverkauf wiederum kann gegen die Zweckbindung verstoßen, die etwa die DSGVO verlangt. Von Werbezwecken kann nämlich keine Rede mehr sein, sobald die Daten zur offenen Handelsware werden.

Diesen Standpunkt vertrat 2024 auch das deutsche Verbraucherschutzministerium. Jüngst sprach die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider im Interviewmit netzpolitik.org von einer „unglaublichen Masse an Daten, die rechtswidrig genutzt werden“.

Datenkauf als „besondere Gefahr“ für Grundrechte

Hätten Sicherheitsbehörden des Bundes überhaupt eine Rechtsgrundlage, um bei Databrokern einzukaufen? Dieser Frage geht ein neues Gutachten der Wissenschaftlichen Dienste des Bundestages nach. Die dort tätigen Forscher*innen arbeiten laut Selbstbeschreibung parteipolitisch neutral und sachlich objektiv. Ebenfalls im Auftrag der Abgeordneten Vogtschmidt haben sie die „rechtlichen Voraussetzung und Grenzen des behördlichen Ankaufes von personenbezogenen Daten aus Werbedatenbanken“ untersucht. Hier veröffentlichen wir das 25 Seiten umfassende Gutachten [PDF].

Aus dem Gutachten geht hervor: Sicherheitsbehörden fehlt eine klare Rechtsgrundlage für den Kauf von personenbezogenen Daten von Databrokern. Der Kauf kann zudem einen weitreichenden Grundrechtseingriff darstellen, für den es deshalb sehr hohe Hürden gibt. So könnten die Behörden damit etwa in das Recht auf informationelle Selbstbestimmungeingreifen.

„Betroffene können in aller Regel weder überschauen noch beherrschen, welche Daten aus welchen Quellen in Werbedatenbanken gespeichert und miteinander verknüpft werden“, schreiben die Wissenschaftler*innen. Zudem besteht „beim Ankauf von Daten aus Werbedatenbanken eine besondere Gefahr von Eingriffen in den Kernbereich privater Lebensgestaltung“.

Wie intim Erkenntnisse aus solchen Daten sein können, zeigen die Databroker Files: Handy-Ortungen offenbarten beispielsweise Besuche in Bordellen, Kliniken oder Gefängnissen; die Nutzung bestimmter Apps kann Aufschluss über Krankheiten oder sexuelle Orientierunggeben.

Wissenschaftliche Dienste: schwere Belastung für Betroffene

Weiter gehen die Wissenschaftler*innen auf die „Schwere der Belastung“ von Betroffenen ein, wenn Behörden ihre personenbezogenen Daten kaufen. Zunächst erfahren die Betroffenen nichts davon, die Maßnahme ist also heimlich. Außerdem könne es sein, dass die Daten selbst rechtswidrig erhoben wurden. Weiter sei unklar, ob die gekauften Daten „überhaupt inhaltlich korrekt“ sind.

Eine Studie des NATO-Forschungszentrums Stratcom schätzte 2021, dass im Durchschnitt nur 50 bis 60 Prozent der Daten von Databrokern „als präzise angesehen werden können.“ Auch unsere Recherchen zeigten, dass immer wieder Zeitstempel oder Geräte-Kennungen in den Datensätzen von Databrokern falsch sind. Im Fall von geheimdienstlicher Überwachung könnten also Unbeteiligte ins Visier geraten.

Bei BKA und Bundespolizei konstatiert das Gutachten, dass ihnen eine „Ermächtigungsgrundlage“ fehle, um solche Daten zu kaufen. Das heißt: Es gibt in den Gesetzen, die die Arbeit dieser Sicherheitsbehörden regeln, keine Normen, die ein Shopping bei Databrokern erlauben oder rechtfertigen würden.

Weniger deutlich fällt die rechtliche Einordnung allerdings bei den Geheimdiensten des Bundes aus, also Bundesnachrichtendienst, Bundesamt für Verfassungsschutz und Militärischer Abschirmdienst. Auch hier finden die Wissenschaftlichen Dienste keine ausdrückliche Rechtsgrundlage. Allerdings kommen sie zu dem Ergebnis, dass der Kauf solcher Daten möglicherweise in Einzelfällen gerechtfertigt sein könnte, wenn auch unter sehr begrenzten Umständen.

Das Gutachten stellt zudem heraus:

Unter welchen Umständen und mit welchen Methoden die Daten erhoben und in die Datenbank eingepflegt wurden, ist daher völlig offen und für den ankaufenden Nachrichtendienst auch kaum mit hinreichender Sicherheit überprüfbar. Es erscheint daher möglich, dass Nachrichtendienste durch den Ankauf an Daten gelangen könnten, die sie im Wege einer Überwachung nicht selbst erheben dürften.

„Der Rechtsstaat versteckt keine Elefanten hinter Mäuselöchern“

Thorsten Wetzling forscht für die gemeinnützige Denkfabrik Interface zu Geheimdiensten und ADINT. So nennt man die Erlangung geheimdienstlicher Erkenntnisse („intelligence“) durch Daten aus der Werbeindustrie („Ad“). Gerade die Aussicht auf Daten, die Geheimdienste sonst nicht erheben dürften, sieht Wetzling als wesentlichen Anreiz für ADINT. Hierbei könnten sich Geheimdienste auch umfangreiche Genehmigungsverfahren, Nutzungsbeschränkungen und Kontrollvorgaben sparen.

Mit Blick auf das Gutachten beschreibt Wetzling die unklare Rechtslage als besorgniserregend. Gewichtige Gründe sprechen ihm zufolge dagegen, dass die entsprechenden Normen den verfassungsrechtlichen Standards der Bestimmtheit und der Verhältnismäßigkeit entsprechen.​​​​​ Der Forscher warnt:

​​​​​Sollte die Bundesregierung nachrichtendienstliche Datenkäufe tätigen, so ist deren rechtliche Grundlage ungewiss und verfassungswidriges Handeln durchaus möglich.

Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider deutet die Rechtslage ähnlich. Ankauf und Nutzung von Werbedaten bedürften „spezieller gesetzlicher Regelungen, welche für die Sicherheitsbehörden bisher nicht bestehen“, schreibt ein Sprecher auf Anfrage von netzpolitik.org und BR. Eine allgemeine Ermächtigungsgrundlage reiche nicht aus. „Hier gilt: Der Rechtsstaat versteckt keine Elefanten hinter Mäuselöchern“, so der Sprecher.

Deutlich wird auch Mark Zöller, der an der Ludwig-Maximilians-Universität München zu Polizeirecht forscht. Er sagt, es wäre „eindeutig rechtswidrig“, wenn Behörden personenbezogene Daten aus der Werbeindustrie kaufen würden. „Eine spezielle Ermächtigungsgrundlage für den Ankauf solch privater Datenbestände gibt es in keinem Sicherheitsgesetz in der Bundesrepublik Deutschland.“ Es sei jedoch typisch für Sicherheitsbehörden, dass sie neue Instrumente ohne Rechtsgrundlage erst mal nutzen würden, „bis sich Widerstand regt“. Juristisch könne das aber zum Problem werden, weil damit auch die gerichtliche Verwertbarkeit auf diesem Weg erlangter Beweise in Frage stehe.

Forscher Thorsten Wetzling sieht im Ankauf kommerzieller Daten „einen Paradigmenwechsel bei der nachrichtendienstlichen Informationsbeschaffung“, der dringend reguliert werden muss. Das Mandat der unterschiedlichen Gremien zur Kontrolle der Geheimdienste sei für das Phänomen nicht ausreichend. ​​​​​​​Der Gesetzgeber sollte bei der anstehenden Geheimdienstreform jedoch nicht nur auf ADINT schauen, sondern „die ganze Palette des möglichen Zusammenwirkens privater und öffentlicher Stellen näher in den Blick nehmen“. Im Falle einer gesetzlichen Regelung fordert Wetzling eine Diskussion über Schutzvorkehrungen beim Kauf sensibler Daten – bis hin zu einem möglichen Verbot, hochsensible Daten überhaupt zu kaufen.

Die Versuchung der Daten

Darüber, wie Geheimdienste mit Databrokern umgehen sollten, gibt es im Bundestag gespaltene Meinungen. „Ich lehne es ab, dass Sicherheitsbehörden den vor Datenschutzverletzungen strotzenden Handel mit Werbedatenbanken anheizen und fordere einen gesetzlichen Riegel davor“, sagt Linken-Abgeordnete Donata Vogtschmidt mit Blick auf die neusten Recherchen. Bereits zuvor sagte sie: „Geheimdienste sind Fremdkörper in der Demokratie und müssen schrittweise durch Informationsstellen ohne nachrichtendienstliche Mittel ersetzt werden“.

Eine ambivalente Position äußerte der CDU-Abgeordnete Roderich Kiesewetter gegenüber netzpolitik.org und BR im Sommer 2024: „Angesichts der Bedrohungslage und der Ressourcenknappheit kann es durchaus sinnvoll sein, auch solche Daten verstärkt für die Aufklärung zu nutzen.“ Andererseits sprach er davon, Datenmarktplätze und Verkäufer zu regulieren, „damit solche Datensätze nicht von gegnerischen ausländischen Diensten im Rahmen hybrider Kriegsführung verwendet werden“ und um „unsere Bürger vor dem Datenabgriff durch ausländische Staaten zu schützen.“

Der Abgeordnete Konstantin von Notz (Grüne) sprach sich 2024 für eine rechtliche Klärung aus. Er verglich das mit anderen Mitteln wie etwa dem Abhören von Telefongesprächen, bei denen es auch klare Regeln gibt.

Auch der Thinktank Hybrid CoE, bei dem Fachleute im Auftrag von EU und NATO hybride Bedrohungen erforschen, bewertet ADINT als zweischneidig. „Die Frage, ob die Chancen die Risiken überwiegen, ist schwer zu beantworten, da sich beide offenbar die Waage halten“, sagte Sprecherin Kirsi Pere auf Anfrage von netzpolitik.org.

Aus Perspektive von Daten- und Verbraucherschutz sollten die Maßnahmen bereits früher ansetzen, und zwar schon bei der schieren Anhäufung der Daten. Nicht zuletzt der Verbraucherzentrale Bundesverband fordert ein Verbot von Tracking und Profilbildung zu Werbezwecken.

EU-Kommission: „wachsendes Problem“

Zumindest scheint im Zuge der Databroker Files das Bewusstsein dafür zu wachsen, wie gefährlich es ist, wenn Angebote von Databrokern praktisch allen offenstehen. Am 4. November haben netzpolitik.org und Recherche-Partner berichtet, wie Datenhändler metergenaue Standortdaten von EU-Personal verkaufen. Wenig später, am 19. November, thematisierte die EU-Kommission Databroker in einem Schreiben an EU-Parlament und Ministerrat. Darin heißt es, leicht gekürzt und aus dem Englischen übersetzt:

Der Handel mit personenbezogenen Daten ist zu einem wachsenden Problem geworden. Solche intransparenten Praktiken untergraben zentrale Grundsätze des Datenschutzrechts und der Privatsphäre, verzerren den Wettbewerb und unterminieren das öffentliche Vertrauen in digitale Märkte. Eine konsequentere Durchsetzung der bestehenden Vorschriften ist erforderlich. Die Kommission wird prüfen, ob zusätzliche Schutzmaßnahmen notwendig sind, um diese Praktiken einzudämmen und die Transparenz im Datenhandel zu erhöhen.

Dabei stehen die Zeichen eigentlich auf Deregulierung. Anlass des Schreibens ist das Vorhaben der EU-Kommission, Daten für KI-Innovationen zu befreien. Auch der Digitale Omnibus, ein Gesetzpaket der EU-Kommission, will Unternehmen beim Datenschutz mehr freie Hand lassen. Offenbar erweisen sich die Databroker Files als Sand im Getriebe der Deregulierung.

Bundesregierung „beobachtet aufmerksam“

Noch im Herbst hatte sich die Bundesregierung mit möglichen Regulierungslücken beim Handel mit personenbezogenen Daten beschäftigt. Anlass war eine schriftliche Frage des Abgeordneten Konstantin von Notz (Grüne). Eine Lücke können etwa Datenmarktplätze sein, die Kontakt zwischen Databrokern und potenziellen Käufern herstellen. Prominentes Beispiel für einen Datenmarktplatz ist der Berliner Anbieter Datarade, der offenbar durch die Maschen der Datenschutz-Regulierung schlüpft und sogar von einer teilweise staatlichen Investition profitiert hat. Über Datarade konnte netzpolitk.org Kontakt zu einem Datenhändler herstellen, der dem Team letztlich 3,6 Milliarden Handy-Standortdaten aus Deutschland zur Verfügung stellte.

In ihrer Antwort vom 16. September schreibt die Bundesregierung, sie „beobachtet aufmerksam die Entwicklungen im Bereich des Datenhandels“. Auch Datenmarktplätze erwähnt sie ausdrücklich. Zu Konsequenzen äußert sie sich jedoch zurückhaltend. „Sollte sich zeigen, dass zusätzliche Regelungen erforderlich sind, wird die Bundesregierung die erforderlichen Schritte prüfen“, heißt es. „Dies kann, je nach Sachlage, auch gesetzgeberische Maßnahmen einschließen.“

Allein in den drei Monaten nach dieser Antwort sind vier große Enthüllungen über die Gefahren von Handy-Standortdaten erschienen – mit Daten aus Belgien, Irland, Frankreichund Italien.

Ingo Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Er schreibt häufig über Datenmissbrauch und Datenschutz, Big Tech, Plattformregulierung, Transparenz, Lobbyismus, Online-Werbung, Wahlkämpfe und die Polizei. 2024 wurde er mit dem Alternativen Medienpreis und dem Grimme-Online-Award ausgezeichnet. Ingo ist Mitglied des Vereins Digitale Gesellschaft sowie der Evangelischen Kirche. Seit 02/2025 ist sein Buch erhältlich: “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen”. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat. Sebastian Meineck ist Journalist und seit 2021 Redakteur bei netzpolitik.org. Zu seinen aktuellen Schwerpunkten gehören digitale Gewalt, Databroker und Jugendmedienschutz. Er schreibt einen Newsletter über Online-Recherche und gibt Workshops an Universitäten. Das Medium Magazin hat ihn 2020 zu einem der Top 30 unter 30 im Journalismus gekürt. Seine Arbeit wurde mehrfach ausgezeichnet, unter anderem zweimal mit dem Grimme-Online-Award sowie dem European Press Prize. Kontakt: E-Mail (OpenPGP), Sebastian Hinweise schicken | Sebastian für O-Töne anfragen | Mastodon. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Kaufen deutsche Sicherheitsbehörden Standortdaten von Datenhändlern? Ein Bundestagsgutachten sieht Hinweise darauf, die Bundesregierung will es nicht ausschließen.

Experten halten solche Käufe für rechtswidrig.

Unsere neuste Recherche zum Thema Datenhandel, wie immer zusammen mit @sebmeineck und @roofjoke von @netzpolitik_feed

➡️ bei @tagesschau und @BR24 zum Lesen und Hören:

https://www.tagesschau.de/investigativ/br-recherche/standortdaten-sicherheitsbehoerden-datenkauf-100.html

https://www.br.de/nachrichten/deutschland-welt/sicherheitsbehoerden-moeglicher-datenkauf-in-der-grauzone,V5kaV48

#databroker #databrokerfiles #standortdaten #datenhandel

Wir haben mit den #DatabrokerFiles gezeigt, wie gefährlich der Handel mit Standortdaten ist. Aber kaufen deutsche Sicherheitsbehörden auch selbst ein? 🛒📍

MdB Vogtschmidt (Linke) hat nachgefragt. Und die Bundesregierung macht daraus ein Staatsgeheimnis. 🕵🏻‍♂️🤫

Sie lässt jedoch durchscheinen, dass die Möglichkeit besteht. Zugleich zeigt ein Gutachten: Solches Shopping bei Databrokern könnte verfassungswidrig sein. ⚠️👀

https://netzpolitik.org/2025/sicherheitsbehoerden-und-databroker-bundesregierung-macht-datenkauf-zum-staatsgeheimnis/

– mit @roofjoke @cutterkom @br_data et. al.

Die neueste Veröffentlichung der #DatabrokerFiles zusammen mit @sebmeineck und den Kolleg:innen von @br_data : @cutterkom @rebeccacie & Maximilian Zierer. Vielen Dank an dieses großartige Team, dem einfach nicht der Atem ausgeht.

Die Frage ist brisant, denn ein neues Gutachten der Wissenschaftlichen Dienste des Bundestages, das wir ebenfalls veröffentlichen, zeigt: Für den Kauf gäbe es keine sichere Rechtsgrundlage.

Als „eindeutig rechtswidrig“ bezeichnet deshalb der Polizeirechts-Professor Mark Zöller​​​​​​​ mögliche Datenkäufe durch Sicherheitsbehörden.

Geheimdienstforscher Thorsten Wetzling von der Denkfabrik Interface warnt: Behörden könnten beim Kauf von Datenbanken verfassungswidrig handeln.

#databrokerFiles

Wir haben mit den #DatabrokerFiles einen gigantischen Markt für illegale Daten aus der Online-Werbeindustrie aufgedeckt. Eine Frage konnten wir bisher nicht beantworten: Kaufen auch deutsche Sicherheitsbehörden solche Daten?

Die Bundestagsabgeordnete Donata Vogtschmidt hat nachgefragt, doch die Bundesregierung macht daraus ein Staatsgeheimnis: "Unter keinen Umständen" dürfe das bekannt werden. Nicht mal das Parlament könne eingestuft darüber informiert werden.

https://netzpolitik.org/2025/sicherheitsbehoerden-und-databroker-bundesregierung-macht-datenkauf-zum-staatsgeheimnis/

Die Bundesregierung verweigert Transparenz darüber, ob deutsche Sicherheitsbehörden bei Datenhändlern einkaufen. Auf eine Kleine Anfrage der Bundestagsabgeordneten Donata Vogtschmidt sagt sie, das dürfe "unter keinen Umständen" bekannt werden.

Die Frage ist brisant, denn für den Kauf gäbe es keine sichere Rechtsgrundlage, wie ein neues Gutachten der Wissenschaftlichen Dienste des Bundestages zeigt. Wir veröffentlichen beide Dokumente.

#databrokerfiles

https://netzpolitik.org/2025/sicherheitsbehoerden-und-databroker-bundesregierung-macht-datenkauf-zum-staatsgeheimnis/

Databroker verhökern die Standortdaten von Millionen Menschen in Frankreich. Neue Recherchen zeigen: Mit den angeblich nur zu Werbezwecken erhobenen Daten lässt sich dort sogar Personal von Geheimdiensten und Militär ausspionieren – inklusive Entourage des französischen Präsidenten.

#DatabrokerFiles

– von @sebmeineck & @roofjoke in Kooperation mit @lemonde, L'Echo und @br_data

https://netzpolitik.org/2025/databroker-files-handy-daten-exponieren-begleiter-von-emmanuel-macron/

Mit angeblich nur zu Werbezwecken erhobenen Standortdaten aus Frankreich lässt sich sogar Personal von Geheimdiensten und Militär ausspionieren – inklusive Entourage von Emmanuel Macron. #DatabrokerFiles – mit @lemonde.fr@bsky.brid.gy, L'Echo und @brkommunikation.bsky.social@bsky.brid.gy netzpolitik.org/2025/databro...

Databroker Files: Handy-Daten ...

RE: https://mastodon.social/@sebmeineck/115694016778292303

#DataBrokerFiles heute mit der Folge: Frankreich

feat. @netzpolitik_feed und @br_data

Lest hier, was geschah, als wir in einem Haufen Standortdaten aus Frankreich nach Emmanuel Macron suchten. 🔎🤨

Der neuste Teil der #DatabrokerFiles zeigt: Mit angeblich nur zu Werbezwecken erhobenen Standortdaten lässt sich sogar Personal von Geheimdiensten und Militär aus Frankreich ausspionieren – inklusive Entourage des französischen Präsidenten. 🤡

https://netzpolitik.org/2025/databroker-files-handy-daten-exponieren-begleiter-von-emmanuel-macron/

für @netzpolitik_feed mit @roofjoke feat. @lemonde, @br_data & L'Echo

Falsche Richtung

Interview mit der Bundesdatenschutzbeauftragten: „Die aktuelle Debatte geht in die falsche Richtung“

Louisa Specht-Riemenschneider erklärt, warum KI und Datenschutz so schlecht zusammengehen und die Datenpolitik ein gesellschaftspolitisches Ziel braucht. Außerdem nennt sie eine überraschend niedrige Zahl neuer Mitarbeitender, falls ihre Behörde die zentrale Wirtschaftsaufsicht erhält.

Seit gut einem Jahr ist Louisa Specht-Riemenschneider Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Nicht nur die schwarz-rote Bundesregierung hat sich mittlerweile weitreichende Reformen beim Datenschutz vorgenommen, sondern auch die EU-Kommission will die Datenschutzgrundverordnung erstmalig schleifen.

Wir haben Specht-Riemenschneider in ihrem Berliner Büro getroffen und sie gefragt, wo sie in der hitzig geführten Reformdebatte steht. Sie kritisiert Teile der Pläne der EU-Kommission, spricht sich aber auch selbst entschieden für eine Reform aus. Der datenschutzrechtliche Rahmen erfülle seine Funktion nicht, allerdings laufe die aktuelle Debatte in die falsche Richtung. Vor Veränderungen in der Datenpolitik müsse eine gesellschaftspolitische Zielsetzung stehen, so die Forderung der Datenschutzbeauftragten.

Auch zu den umstrittenen Themen Gesundheitsdigitalisierung und Reform der Datenschutzaufsicht in Deutschland haben wir die Juristin befragt.

„An jeder Ecke fehlen Daten für gemeinwohlorientierte Zwecke“

Sie haben als Rechtswissenschaftlerin immer die Bedeutung von Daten für Innovation betont und einen Ausgleich zwischen Datennutzung und Datenschutz gesucht. Für viele bedeutet das momentan vor allem, den Datenschutz zurückzubauen. Auf dem Digitale-Souveränitäts-Gipfel in Berlin lautete die neue Leitlinie „Product First, Regulation Second“. Ihre Behörde soll den Zusatz „Beauftragte für Datennutzung“ erhalten. Geht die Entwicklung also in die richtige Richtung?

Für mich stand nie zur Debatte, ob Datenschutz und Datennutzung zusammengehen. Die DSGVO soll genau das erreichen. Sie will ja nicht Datennutzung um jeden Preis verhindern, sondern gewährleisten, dass dabei Grundrechte gewahrt bleiben. Gleichzeitig gibt es andere Grundrechte wie den Schutz der Gesundheit, die es notwendig machen, dass Daten verarbeitet werden. Beides muss man in Einklang bringen.

In der öffentlichen Debatte wird derzeit allerdings versucht, diese zwei Positionen gegeneinander auszuspielen. Wir sind an einem Punkt, wo wir eine entscheidende Weichenstellung machen können. Und ich würde mir eine viel stärker gesellschaftspolitische Diskussion darüber wünschen, wo wir eigentlich hin wollen.

Also für welche Zwecke Daten genutzt werden sollen und für welche nicht?

Ja, wollen wir als Gesellschaft etwa Daten für verbesserte Krebstherapien nutzen? Oder wollen wir verbesserte Datennutzbarkeit für rein kommerzielle Interessen? Das beantwortet mir momentan politisch niemand.

Wir haben zwar 1.000 Strategien, aber es fehlt ein Leitbild, an dem wir die Datenpolitik und auch die Regulierung ausrichten. Gerade jetzt wäre die Gelegenheit, in der wir in Europa – anders als die USA oder China – eine Datennutzungsagenda entwickeln könnten, die Grundrechte, Demokratie und Freiheit mitdenkt.

Bei der Gesundheitsdigitalisierung heißt es, der Datenschutz gefährde Leben. In der Wirtschaft gefährde er Europas Wettbewerbsfähigkeit. Spüren Sie diesen Gegenwind?

Ja, und ich finde es unheimlich schade, dass die Diskussion in die falsche Richtung geht. Der Rechtsrahmen für Datenschutz und Datennutzung funktioniert offensichtlich nicht so, wie er eigentlich funktionieren sollte. Einerseits haben wir eine unglaubliche Masse an Daten, die rechtswidrig genutzt werden, wie etwa die „Databroker Files“ gezeigt haben. Andererseits fehlen an jeder Ecke Daten für gemeinwohlorientierte Zwecke.

Diese Gemengelage führt dazu, dass der Datenschutz zum Buhmann für alles gemacht wird. Vergangenes Jahr habe ich gelesen, dass in einem Seniorenheim keine Weckmänner verteilt werden konnten, wegen des Datenschutzes. Das ist natürlich großer Quatsch, aber diese Missverständnisse werden unter anderem dadurch hervorgerufen, dass der Rechtsrahmen sehr komplex ist.

„Es gibt im Omnibus auch Aspekte, die ich begrüße“

Mit ihrem „Digitalen Omnibus“ fährt die EU-Kommission aktuell in die andere Richtung. Sie schlägt erstmals weitreichende Änderungen an der DSGVO vor. Verbraucher- und Datenschutzorganisationen sowie Teile des EU-Parlaments sprechen von einem Angriff auf die Grundlagen des europäischen Datenschutzes.

Ich halte nichts davon, die Welt in Schwarz und Weiß einzuteilen. Die Kommission schlägt Regelungen vor, von denen einige datenschutzrechtlich ganz klar kritisch zu werten sind. Wenn ich zum Beispiel meine Betroffenenrechte nur noch für datenschutzrechtliche Zwecke ausüben darf, dann schränkt mich das in meinen Rechten elementar ein. Gegen einen Missbrauchseinwand spricht nichts, aber er muss richtig formuliert sein.

Es gibt im Omnibus jedoch auch Aspekte, die ich begrüße. Die Vereinheitlichung von Digitalrechtsakten zum Beispiel, also die Zusammenfassung von Datennutzungsgesetzen im Data Act. Auch die Vorschläge zu Cookie-Bannern sind in ihrer Grundrichtung zu begrüßen.

Für Kritik sorgt auch der Plan, die Definition personenbezogener Daten deutlich enger zu fassen und pseudonymisierte Daten unter bestimmten Umständen von der DSGVO auszunehmen. Man folge da nur der Rechtsprechung des Europäischen Gerichtshofs, heißt es von der Kommission. Der Jurist und Datenschutzexperte Max Schrems und andere sagen, das geht weit darüber hinaus. Wer hat Recht?

Man kann das Urteil so oder so lesen. Ich frage mich, ob die geplanten Änderungen – wenn man genau hinschaut – tatsächlich eine Abweichung vom derzeitigen Standard darstellen. Dazu berate ich mich gerade noch mit meinen Kolleg:innen in der Datenschutzkonferenz und möchte dem ungern vorgreifen.

Ein weiterer Streitpunkt sind KI-Systeme. Die Kommission will klarstellen, dass diese auch ohne Einwilligung, auf Basis des legitimen Interesses, mit personenbezogenen Daten trainiert und betrieben werden dürfen.

Die Kommission folgt hier einer Empfehlung des Europäischen Datenschutzausschusses, bei der jedoch leider nicht genau ausformuliert wurde, unter welchen Bedingungen KI auf das berechtigte Interesse gestützt werden kann. Der Omnibus unterscheidet hier leider auch nicht zwischen KI-Training zu kommerziellen oder zu gemeinwohlorientierten Zwecken oder zur Ausübung anderer Grundrechte.

Sie ist offenbar getrieben von der Sorge, Europa könne im sogenannten KI-Wettrennen verlieren. Gehen Datenschutz und KI einfach nicht zusammen?

Ja, der geltende Datenschutz-Rechtsrahmen und KI gehen ganz schlecht zusammen. Das Hauptproblem ist, dass unklar ist, wie man Betroffenenrechte geltend machen soll, wenn KI-Systeme sich einzelne Daten merken. Wie sollen Löschansprüche ausgeübt werden? Wie soll der Berichtigungsanspruch praktisch umgesetzt werden? Diese Fragen beantwortet auch der Digitale Omnibus nicht. Es wäre klug, wenn sich der europäische Gesetzgeber die Zeit nehmen würde, über diese Frage etwas intensiver nachzudenken.

Da sind wir auch wieder bei der Gretchenfrage: Für welche Zwecke wollen wir als Gesellschaft KI und für welche nicht? Das scheint mir wirklich eine Grundsatzdiskussion zu sein, die wir dringend führen und dann gesetzgeberisch entsprechend handeln müssen. Entwicklung und Einsatz von KI für gemeinwohlorientierte Zwecke oder zur Ausübung von Grundrechten würde ich gern gesetzlich privilegiert sehen, für andere Zwecke ist das meines Erachtens weniger erforderlich. Große Player, die kommerzielle KI-Modelle anbieten, können mit der Rechtsunsicherheit gut umgehen.

Wo eine Reform ansetzen sollte

Viele Datenschützer:innen warnen davor, im aktuellen politischen Klima solche Grundsatzfragen zu stellen und das große Fass DSGVO überhaupt aufzumachen.

Ich möchte eine Grundsatzdebatte sogar vehement einfordern. Der bestehende Rechtsrahmen funktioniert nicht so, wie er funktionieren soll. Natürlich will ich die DSGVO nicht insgesamt nochmal zur Abstimmung stellen. Aber wir sollten über Nachbesserungen im geltenden Rechtsrahmen sprechen. Das Interessante am Omnibus ist ja nicht nur das, was drinsteht, sondern vor allem das, was nicht drin steht.

Was fehlt Ihnen?

Wie bekomme ich zum Beispiel eine Databroker-Regelung in die DSGVO? Wie schaffen wir es, dass Selbstbestimmung nicht nur auf dem Papier existiert?

Das Grundproblem ist die Einwilligung. Wir hatten in den 1960er- und 1970er-Jahren eine ähnliche Diskussion zu Selbstbestimmung im Verbraucherschutzrecht. Schon damals war klar, dass Verbraucher:innen Entscheidungen treffen, die manchmal nicht selbstbestimmt sind, weil es Machtasymmetrien gibt. Also müssen wir dafür sorgen, dass wir die Vertragsparteien auf Augenhöhe bekommen, damit Verbraucher:innen gleichberechtigt entscheiden können.

Warum führen wir diese Diskussion nicht auch bei der DSGVO? Dafür müssen wir deren Grundsätze nicht anfassen, sondern an die Frage der Einwilligung ran. Und wir müssen dafür sorgen, dass die DSGVO besser in der Praxis umgesetzt wird. Das ist nur vordergründig eine Frage des Bürokratieabbaus.

Sondern?

Ich höre oft von Unternehmer:innen, dass sie Datenschutz beachten wollen, aber nicht wissen, wie sie dabei am besten vorgehen. Wenn wir also am Ende mehr Rechtsklarheit in die Verordnung hineinbekommen, dann ist das auch ein Weg, um Betroffene besser zu schützen, weil die Regeln besser umgesetzt können. Auch der risikobasierte Ansatz der DSGVO sollte weiter ausdifferenziert werden. Also dass nicht alle die gleichen Pflichten haben, sondern ähnlich wie bei der KI-Verordnung die Verantwortung größer ist, wenn das Risiko der Datenverarbeitung zunimmt.

Wie man das Problem der Databroker lösen könnte

Erst kürzlich konnten wir mit den gerade schon angesprochenen Databroker-Recherchen zeigen, wie sich selbst hochrangiges EU-Personal ausspionieren lässt – mit Daten aus dem Ökosystem der Online-Werbung, die wir kostenfrei von Databrokern bekommen haben. Wie löst man dieses Problem?

Das ist nicht trivial, weil Werbe-Tracking mit Einwilligung zulässig sein kann, in vielen Fällen wohl aber Zweifel an der Rechtsgültigkeit der Einwilligungen bestehen. Deshalb müssen wir uns zunächst anschauen, wie die Datenströme verlaufen: Ich habe ein Endgerät mit der Werbe-ID, von dem Daten an einen Databroker gehen, der häufig in einem Drittstaat sitzt, beispielsweise in den USA. Und dann habe ich einen Datenankäufer, der etwa in einem anderen europäischen Staat sitzt.

Den Databroker in den USA kriegt man aufsichtsrechtlich sehr schwer zu fassen, da bräuchte man Amtshilfe von US-Behörden. Beim Datenankäufer ist es einfacher, wenn er in einem EU-Mitgliedstaat sitzt. Er ist aber das letzte Glied in der Kette. Selbst wenn wir nachweisen können, dass er sich datenschutzwidrig verhält, beendet das noch nicht den Datenhandel.

Daher wäre es am sinnvollsten, die Apps ins Visier zu nehmen, die die Werbe-ID weitergeben. Wir sollten darüber nachdenken, ob die Ausleitung der Werbe-ID grundsätzlich beschränkt werden sollte – auch wenn Nutzer:innen „einwilligen“. Das könnte man übrigens auch in einem Omnibus regeln.

Um die Komplexität noch zu erhöhen, gibt es auch noch das Teilproblem der Datenmarktplätze. Das sind die Plattformen, auf denen Interessierte und Anbieter von Daten zusammenkommen. Der größte Marktplatz hat seinen Sitz in Berlin, die Berliner Datenschutzaufsicht kam zu dem Schluss, dass die DSGVO nicht anwendbar ist, weil er nur Kontakte vermittelt und selbst die Datensätze nicht verarbeitet.

Wir hatten eine ähnliche Situation schon mal beim geistigen Eigentum. Filesharing-Clients hatten einst auch argumentiert, dass sie nur den Kontakt zwischen Person A und Person B herstellen, die dann Musikstücke austauschen. Damals haben die Gerichte die Vermittlungsplattform mit dem Täter quasi gleichgestellt. Eine solche Störerhaftung könnte man auch im Datenschutzrecht vorsehen.

Ich weiß, dass es die Rechtsauffassung gibt, dass die Tätigkeiten von Datenmarktplätzen heute schon eine Verarbeitungstätigkeit sind. Aber selbst dann wäre es hilfreich, dies explizit ins Gesetz zu schreiben, um Rechtsklarheit zu schaffen. Das könnte man gegebenenfalls sogar auf nationaler Ebene lösen, ohne den Weg über die EU.

„Eine Verpflichtung wäre eine großer Schritt“

Überraschenderweise hat die EU-Kommission auch einen neuen Rechtsrahmen für Consent-Manager für Cookies in den Omnibus aufgenommen, obwohl dieser ja eigentlich nur eine technische Anpassung sein sollte. In Deutschland gibt es die Möglichkeit schon länger, Ihre Behörde hat neulich den ersten Cookie-Manager für Deutschland anerkannt. Würde das das Databroker-Problem lösen?

Nein, aber es löst ein anderes Problem.

Wenn ich das Ziel verfolge, Cookie-Banner zu reduzieren, dann habe ich dafür verschiedene Möglichkeiten. Eine besteht darin, den Verbraucher:innen die Möglichkeit zu geben, vorab generell zu erklären, für welche Zwecke Cookies bei ihnen gesetzt werden dürfen und für welche nicht. Und die Website-Betreiber zugleich dazu zu verpflichten, diese Entscheidung auch zu akzeptieren.

Das ist auch der Punkt, den ich beim Omnibus einigermaßen positiv sehe. Da steht drin, dass Website-Betreiber die Cookie-Einstellung akzeptieren sollten. Wenn die Vorgabe so zu lesen ist, dass sie dazu verpflichtet sind, dann wäre das ein großer Schritt. Denn diese Pflicht sieht die deutsche Rechtslage derzeit nicht vor. Das ist ja der große Kritikpunkt an den Einwilligungsmanagementsystemen, wie sie in Deutschland gegenwärtig vorgesehen sind.

„Hundertprozentige Sicherheit gibt es nicht“

Sie sprachen eingangs das Grundrecht auf Schutz der Gesundheit an. Die elektronische Patientenakte hat ein ereignisreiches Jahr hinter sich. Auf Sicherheitslücken in der ePA angesprochen, haben Sie mal den Vergleich gezogen, dass in ein Haus auch eingebrochen werden kann – „ganz gleich, wie gut die Alarmanlage ist“. Ist das nicht eine schräge Analogie?

Was ich damit sagen wollte, ist, dass wir nie eine hundertprozentige Sicherheit im technischen System haben können. Eine solche Sicherheit gibt es nicht.

Wir müssen allerdings alles tun, um Sicherheitslücken so früh wie möglich zu erkennen, zu schließen und deren Zahl so gering wie möglich zu halten. Das sind die drei Dinge, die wahnsinnig wichtig sind.

Allerdings ist bei der Sicherheit der ePA das Bundesamt für Sicherheit in der Informationstechnik (BSI) der primäre Ansprechpartner. Wir als Datenschutzaufsicht schauen uns vor allem die Datenverarbeitung an, die in der ePA stattfindet. Das BSI ist dafür zuständig, im Dialog mit dem Bundesgesundheitsministerium und der Gematik, die Sicherheitslücken zu schließen. Wir werden dann darüber informiert und dürfen uns dazu äußern.

Das war ja mal anders.

Früher mussten Spezifikation der Gematik von uns „freigeben“ werden, sie musste also Einvernehmen mit uns herstellen. Jetzt muss sie uns nur noch ins Benehmen setzen. Ich darf jetzt zwar etwas sagen, aber man muss mir theoretisch nicht mehr zuhören.

In ihren Vorversionen verfügte die ePA noch über zahlreiche Möglichkeiten, mit denen Versicherte genauer einstellen konnten, welche Dokumente Behandelnde sehen dürfen und welche nicht. Davon ist heute nicht mehr viel übrig. Ist das Versprechen einer patientenzenterierten ePA überhaupt noch zu halten?

Es kommt darauf an, was man als patientenzentriert definiert. Die Einstellungen in der ePA 2.0 waren dokumentengenauer. Das wurde ein Stück weit zurückgeschraubt. Wir werden allerdings mit dem Europäischen Gesundheitsdatenraum (EHDS) bald eine Rechtslage bekommen, die möglicherweise wieder feinere Einstellungen vorsieht. Die Details dazu werden derzeit noch ausgearbeitet.

Ein großes Problem in der ePA war, dass Leistungserbringer immer auch die Abrechnungsdaten zu sehen bekamen, die die Krankenkasse in die Patientenakte einstellt. Selbst wenn ich eingestellt hatte, dass bestimmte Leistungserbringer Dokumente nicht sehen sollen. Ärzte hätten dann trotzdem sehen können, dass man schon bei einem anderen Arzt war und wie die Diagnose lautete. Das ist zumindest abgestellt worden und das ist ein Fortschritt.

„Für eine patientenztentrierte ePA ist es noch nicht zu spät“

Dennoch bleibt die Frage, ob die Chance vertan wurde, ein großes Digitalisierungsprojekt datenschutzorientiert auf die Beine zu stellen?

Ich muss selbst entscheiden können, welche Daten in meine ePA hineinkommen. Das kann ich aber nur tun, wenn ich vernünftig informiert werde. Bislang wird äußerst wenig dafür getan, dass Informationen auch bei den Menschen ankommen.

Und das vor allem deswegen, weil das Gesetz überall Informationserteilungspflichten vorsieht, aber nicht fordert, dass die Information von den Patient:innen auch wahrgenommen wird. Erst jetzt startet eine breit angelegte Werbekampagne des BMG. Insgesamt wurde aus meiner Sicht viel zu spät und mit viel zu geringer Priorität informiert. Wir haben dazu gerade eine große Umfrage durchgeführt und veröffentlichen die Ergebnisse bald in unserem Datenschutzbarometer.

Wir haben unzählige Beratungsschreiben an die Krankenkassen geschrieben, damit die Informationen möglichst gut verstanden werden. Damit Menschen sich wirklich befähigt fühlen, informierte Entscheidungen zu treffen, muss ich anders informieren als in einem fünfseitigen Brief, den Versicherte bekommen und dann achtlos in den Müll schmeißen, weil sie denken, das es eine weitere Beitragsanpassung ist. Ich sehe die Verantwortung aber hier wie gesagt auch beim Gesetzgeber.

Ist die Chance vertan, dass die ePA dem Anspruch an Information und Selbstbestimmung gerecht wird? Ich glaube nicht. Aber es ist verdammt spät.

„Das würde meine Behörde und mich sehr schmerzen“

Lassen Sie uns zum Schluss über eine weitere Datenschutz-Baustelle sprechen: die Verteilung der Aufsichtskompetenz in Deutschland. Ihre Behörde könnte die Aufsicht über die Geheimdienste verlieren.

Das ist für mich eine ganz schwierige Situation. Der Verlust der Aufsicht über die Nachrichtendienste würde meine Behörde und mich sehr schmerzen. Nicht weil wir dann zwanzig Mitarbeiter weniger hätten. Sondern weil wir die einzige Stelle sind, die eine komplette Übersicht über die Sicherheitsbehörden insgesamt hat und darüber, wie sie Daten von Bürgerinnen und Bürgern nutzen.

Die aktuelle politische Diskussion geht klar in die Richtung, dass Nachrichtendienste mehr Befugnisse erhalten sollen. Ein solcher Machtzuwachs lässt sich aber nur dann rechtfertigen, wenn gleichzeitig ein vernünftiges Aufsichtsregime gewährleistet wird.

Die Pläne kämen einer Entmachtung Ihrer Behörde gleich.

Teile der Aufsicht, die wir bisher ausgeübt haben, sollen in einen unabhängigen Kontrollrat verlagert werden. Das wäre eine Zerfaserung der Aufsicht, die Gesamtübersicht über die Sicherheitsbehörden wäre nicht mehr gegeben. Das finde ich bedenklich. Wir sind nämlich auch die einzige Stelle, die die Gesamtheit des Überwachungsdrucks im Blick behalten kann.

Wir haben derzeit eine Haushaltssituation, wo alle sparen sollen. Ich frage mich, wieso da eine neue Stelle geschaffen werden soll, die Aufgaben übernimmt, für die eine andere Behörde jahrelang Kompetenz aufgebaut hat. Haben wir vielleicht zu genau hingeschaut in den vergangenen Jahren?

An anderer Stelle könnte Ihre Behörde an Bedeutung gewinnen. Der Koalitionsvertrag sieht eine Bündelung der Zuständigkeiten und Kompetenzen bei der Aufsicht über Wirtschaft und Vereine bei Ihnen vor. Dafür kursieren unterschiedliche Modelle.

Auch diese Situation ist für mich persönlich nicht ganz leicht, weil ich meine Kolleg:innen aus der Datenschutzkonferenz (DSK) sehr schätze. Die Landesdatenschutzaufsichtsbehörden machen hervorragende Arbeit.

Gleichwohl glaube ich, dass 18 Aufsichtsbehörden zwangsläufig auch mal unterschiedliche Rechtsauffassungen vertreten. Wir können nicht alles auf DSK-Ebene diskutieren und gemeinsam entscheiden. Es gibt daher gute Argumente für eine Bündelung. Ich glaube auch, dass man Aufsicht und Beratung dann besser skalieren könnte.

Unabhängig davon, welches Modell es am Ende wird, muss die Datenschutzkonferenz für die Aufsicht über öffentliche Stellen eine eigene Geschäftsstelle bekommen, weil durch den wechselnden Vorsitz zu viele Kapazitäten in Organisationsfragen gebunden werden.

Zum Abschluss die Preisfrage: Wie viele neue Stellen bräuchten Sie, wenn es zu einer Zentralisierung kommen sollte, also einer vollständigen Verlagerung der Wirtschaftsaufsicht von den Länderbehörden zu Ihnen?

Wir gehen je nach Ausgestaltung von einer hohen zweistelligen bis niedrigen dreistelligen Zahl aus.

Ihre Länderkolleg:innen rechnen mit deutlich höheren Zahlen.

Wir haben das intern durchgerechnet und gehen von Skalierungseffekten aus. Insofern kommen wir mit deutlich weniger Stellen aus, als derzeit in der öffentlichen Diskussion angenommen wird.

Ingo  Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Er schreibt häufig über Datenmissbrauch und Datenschutz, Big Tech, Plattformregulierung, Transparenz, Lobbyismus, Online-Werbung, Wahlkämpfe und die Polizei. 2024 wurde er mit dem Alternativen Medienpreis und dem Grimme-Online-Award ausgezeichnet. Ingo ist Mitglied des Vereins Digitale Gesellschaft sowie der Evangelischen Kirche. Seit 02/2025 ist sein Buch erhältlich: “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen”. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat

Daniel Leisegang ist Politikwissenschaftler und Co-Chefredakteur bei netzpolitik.org. Zu seinen Schwerpunkten zählen die Gesundheitsdigitalisierung, Digital Public Infrastructure und die sogenannte Künstliche Intelligenz. Daniel war einst Redakteur bei den »Blättern für deutsche und internationale Politik«. 2014 erschien von ihm das Buch »Amazon – Das Buch als Beute«; 2016 erhielt er den Alternativen Medienpreis in der Rubrik »Medienkritik«. Er gehört dem Board of Trustees von Eurozine an. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, Threema ENU3SC7K, Telefon: +49-‭30-5771482-28‬ (Montag bis Freitag, jeweils 8 bis 18 Uhr). Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Här ges sju tips på hur folk kan skydda sig från att dela med sig av platsdata till s.k. datamäklare (eng. "data brokers"). Många tips berör förändrade inställningar på din telefon. Bra instruktioner. Utöver det finns nedan omnämnt att alternativet också kan vara på nivån av operativsystemet i sig självt. Alternativ till idag helt dominerande Googles Android och Apples iOS. Namn på sådana listas inte, men det finns en hel drös. Några är exempelvis Graphene, /e/, Sailfish och VollaOS. "Ofta på bekostnad av komfort", menar artikelförfattarna, men skriver också att det pågår arbete för att se till att det inte bara är någonting för nördar. (Känner för övrigt inte till en enda fysisk butik för telefoner som erbjuder förinstallerade operativsystem bortsett Google eller Apple. Det här totalt integritetskränkande och övervakningsfokuserade oligopolet är egentligen absurt.)

Auch auf Ebene von Betriebssystemen gibt es Optionen. Es muss nicht immer iOS oder Google-basiertes Android sein. Anbieter von Google-freien Android-Versionen haben es sich zur Aufgabe gemacht, Alternativen zum Tracking-basierten Mainstream zu geben. Das geht oft zulasten des Komforts. Es wird aber kontinuierlich daran gearbeitet, dass nicht nur Nerds damit klarkommen.

Sieben Wege, um deinen Standort vor Databrokern zu schützen

#databrokerfiles

+

..we were able to identify several individuals. This was made possible, among other things, by the so-called Mobile Advertising ID, which is a unique identifier for the online advertising industry that Google and Apple automatically assign to each phone.

Each location in our data sets is linked to such an ID. This allows loose data points to be combined to form detailed movement profiles.

#databrokerfiles

#geolocation

#surveillance

#advertising

#android

#apple

#google

#bigtech

Databroker Files: Targeting the EU

Datenhändler bringen Sebastian auf die Leiter! Denn die Recherchen kosten Zeit, Geld und Nerven. Und sie sind wichtig!

Unterstütze unsere umfangereiche Arbeit zu den #databrokerfiles jetzt mit einer Spende.

Wir brauchen dieses Jahr noch 361.000 Euro.

https://netzpolitik.org/digitalfights

Datenhändler bringen Sebastian auf die Leiter! Denn die Recherchen kosten Zeit, Geld und Nerven. Und sie sind wichtig! Unterstütze unsere umfangereiche Arbeit zu den #databrokerfiles jetzt mit einer Spende. Wir brauchen dieses Jahr noch 361.000 Euro. netzpolitik.org/digitalfights