Bundesbeauftragte für Datenschutz und Informationsfreiheit BfDI stellt 33. Tätigkeitsbericht vor

Anbieter zum Thema

Bundesbeauftragter für den Datenschutz und die Infor- mationsfreiheit (BfDI)

Bitkom e.V.

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Etablierung einer KI-Aufsicht, mehr Transparenz und eine Meldepflicht für Sicherheitslücken: Diese und weitere Maßnahmen empfiehlt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Auch der internationale Datentransfer ist Thema.

Prof. Dr. Louisa Specht-Riemenschneider, Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, hat jüngst ihren 33. Tätigkeits­bericht vorgestellt. Darin informiert die BfDI über ihre Arbeit sowie verhängte Sanktionen und erfolgte Maßnahmen.

Datenschutz oder Täterschutz

Gefährdet der Datenschutz die öffentliche Sicherheit?

Empfehlungen der BfDI

Der Tätigkeitsbericht der BfDI enthält eine Reihe von Empfehlungen an den Deutschen Bundestag. Einige davon sind bereits vor Amtsantritt von Specht-Riemenschneider ausgesprochen worden. Dies sind die Empfehlungen des 33. Tätigkeitsberichts:

• Festlegen einer nationalen KI-Aufsichtsstruktur, die sich aus der KI-Verordnung der EU ergibt. Die Expertise der BfDI sollen dabei bestmöglich einbezogen werden.

• Schaffen einer Rechtsgrundlage für das Training von KI, um hinreichend Rechtssicherheit für diese wichtige Zukunftstechnologie zu gewährleisten.

• Einführen von Abhilfebefugnissen, was bereits im 32. Tätigkeitsbericht empfohlen wurde

• Zusammenlegung von Informationsfreiheitsgesetz und Umweltinformationsgesetz sowie die Weiterentwicklung zu einem Bundestransparenzgesetz mit proaktiven Veröffentlichungs­pflichten und Anordnungs- und Durchsetzungsbefugnissen für die Informationsfreiheitsbeauftragte, um im Konfliktfall handlungsfähig zu sein

• Schaffen von Transparenz über die IDNr-Erstregistrierung im Datenschutz-Cockpit. Zudem sollten rechtzeitig Vorbereitungen getroffen werden, um die Änderungen bei den Melde­ämter-Datenübermittlungen von Steuer-ID zu IDNr transparent darzustellen.

• Einführung einer unverzüglichen Meldepflicht für Sicherheitslücken mit dem Ziel der sofortigen Beseitigung an den Hersteller oder eine zentrale koordinierte Stelle, um die IT-Sicherheit in Deutschland zu stärken.

• Novellierung des Fluggastdatengesetzes unter Berücksichtigung der Vorgaben des Europäischen Gerichtshofs.

• Schaffen von klaren gesetzlichen Regelungen für das IT-Großprojekt Polizei 20/20, um die datenschutzrechtliche Sicherheit und die Effizienz der Arbeit der Polizeibehörden zu erhöhen.

• Grundrechtskonforme Überarbeitung des Entwurfs zur Chatkontrolle, wobei die Apsekte Ende-zu-Ende-Verschlüsselung, Ausschluss von Client-Side-Scanning, Wahrung der Kommunikationsgrundrechte und Verbot des anlasslosen Auslesens privater Nachrichten gewährleistet werden müssen. Ist dies nicht möglich sollte der Verordnungsentwurf abgelehnt werden.

• Reform der Antiterrordatei und der Rechtsextremismus-Datei

• Regelung notwendiger Befugnisse in demokratisch legitimierten Gesetzen für die Handlungs- und Rechtssicherheit der Bundeswehr

AI Act in Kraft

KI-Tools dürfen nur mit „ausreichen­der“ KI-Kompetenz genutzt werden

Außerdem empfiehlt die Bundesbeauftragte folgende Gesetzgebungsvorhaben wieder aufzugreifen:

• Beschäftigtendatengesetz

• Forschungsdatengesetz

• Umsetzung der diversen EU-rechtlichen Gesetzgebungsakte mit daten- und datenschutz Bezug BDSG-Novelle

• SÜG-Novelle

Was Unternehmen wissen müssen

Datenschutz versus Datenhandel und Datenkartell

Datenübermittlung in die USA

Auch zur Datenübertragung in die USA äußerte sich Specht-Riemenschneider in ihrem Bericht. Denn mit dem Ende der EU-US-Datenschutzvereinbarung „Privacy Shield“ im Jahr 2020 bestehen nach wie vor Unsicherheiten beim grenzüberschreitenden Datentransfer in die USA. Als Nachfolger dient das EU-US Data Privacy Framework (DPF), welches im Juli 2023 in Kraft getreten ist. Der entsprechende Angemessenheitsbeschluss ist wiederum der Nachfolger des Beschlusses zum Privacy Shield. Seit Inkrafttreten des Angemessenheitsbeschluss zum DPF können personenbezogene Daten im Anwendungsbereich dieses Beschlusses wieder an US-Unternehmen und Organisationen, die nach dem DPF zertifiziert sind, übermittelt werden – ohne, dass weitere Maßnahmen, die das angemessene Datenschutzniveau sicherstellen sollen (Kapitel 5, DSGVO), erforderlich sind. Nachdem US-Präsident Donald Trump Mitarbeiter der US-Datenschutzaufsichtsbehörde entlassen hat, blickt die BfDI mit Sorgen auf die aktuelle Lage, wie Pressesprecher Christof Stein Security-Insider mitteilt. Denn die Privacy and Civil Liberties Oversight Board (PCLOB) – sofern unabhängig und handlungsfähig – sei ein wichtiger Baustein des Data Privacy Frameworks und damit des Angemessenheitsbeschlusses, der nun die Datenübermittlungen in die USA trage.

Betroffenenrechte im EU-US-Data-Privacy-Framework

Wie sich Betroffene über Daten­trans­fers in die USA beschweren können

Ein Jahr nach Inkrafttreten des Angemessenheitsbeschlusses des DPF wurde dieser erstmals im Juli 2024 in Washington überprüft. Daran nahmen auch Vertreter von US-Behörden und der EU teil. Mitarbeitende der BfDI und des Europäischen Datenschutzausschusses (ESDA) haben sich an dieser Prüfung beteiligt und waren federführend zum Themekomplex „Government Access“. Im Anschluss haben die Europäische Kommission und der EDSA einen Prüfbericht veröffentlicht, in dem sie festgestellt haben, dass die US-Behörden die erforderlichen Strukturen und Verfahren eingerichtet haben, um eine effektive Funktionsweise des DPF zu gewährleisten. Dem EDSA zufolge wurden schon viele Umsetzungsschritte unternommen. Gleichzeitig merkte er an, dass künftig weitere Schritte erfolgen, in einzelnen Punkten noch Klarstellungen notwendig sind und es gilt, die Entwicklungen im US-Recht zu verfolgen. Allerdings ist bereits klar, dass es weiteren Umsetzungsbedarf gibt im Hinblick auf eine Verstärkung proaktiver Kontrollen zur Einhaltung der datenschutzrechtlichen Grundsätze durch die US-Behörden.

Hinsichtlich des Zugriffs durch Regierungsbehörden ergab die Überprüfung des Data Privacy Frameworks außerdem, dass Defizite im Datenschutzstandard bestehen. Zu deren Behebung wurde ein neues Beschwerdeverfahren etabliert: das Data Protection Review Court. Dennoch besteht noch Klärungsbedarf bei der praktischen Anwendung des Verhältnismäßigkeitsgrund­satzes durch US-Nachrichtendienste. Im April 2024 wurde bereits eine der entscheidenden Rechtsgrundlagen für die nachrichtendienstliche Erhebung von aus der EU in die USA übermittelter personenbezogener Daten novelliert. Die EDSA hat hier jedoch Bedenken zu mangelnder Rechtsklarheit geäußert, die Unsicherheit über die tatsächliche Reichweite der zulässigen Datenerhebung schaffen könnte. Grundsätzlich müssen Angemessenheitsbe­schlüsse gemäß der DSGVO alle vier Jahre hinsichtlich ihrer Funktionsweise überprüft werden. Die Europäisch Kommission wie auch der Europäische Datenschutzausschuss halten für den Angemessenheitsbeschluss des EU-US Data Privacy Frameworks eine frühere Überprüfung für sinnvoll. Gegenüber Security-Insider bestätigte Stein, dass BfDI Specht-Riemenschneider die weiteren Entwicklungen gemeinsam mit der EU-Kommission und ihren europäischen Kolleginnen und Kollegen aufmerksam beobachten werde.

Datenverkehr in die USA wird kritisch

Trump rebelliert gegen EU-Regulierungen

Bitkom zum Tätigkeitsbericht

Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung, ist der Meinung, der neue Tätigkeitsbericht zeige den eingeschlagenen und dringend notwendigen Perspektivwechsel der Bundesbeauftragten, um Datenschutz und verantwortungsvolle Datennutzung gleichermaßen zu fokussieren. „Auf die Bundesdatenschutzbeauftragte kommen mit dem gestern vorgestellten Koalitionsvertrag künftig neue Aufgaben zu, unter anderem durch die geplante Bündelung der Datenschutzaufsicht bei ihrer Behörde. Auch wenn hier noch Fragen der konkreten Umsetzung, insbesondere in Hinblick auf die föderalen Strukturen zu klären sind, bietet dieser Schritt die Chance für eine dringend notwendige einheitliche Auslegung der europäischen Datenschutz-Grundverordnung.“

Dehmel ist der Ansicht, dass besonders kleine und mittelständische Unternehmen von „vorhandenen Spielräumen der DSGVO“ profitieren könnten. Darüber hinaus begrüße der Bitkom die Einführung von Widerspruchslösungen anstelle von aufwändigen Einwilligungsverfahren für staatliche Services. Denn dies würde die Nutzung digitaler Verwaltungsangebote erheblich vereinfachen und könne zudem als Blaupause für den privatwirtschaftlichen Bereich dienen.

European Privacy Seal

Endlich Datenschutz nach DSGVO zertifizieren

(ID:50386789)