36c3 Vorspannmusik Herald Engel: Unser nächster Vortrag hat den Titel „Weichenstellung“. In welcher digitalen Welt werden wir leben? Der Herr Kelber wird darin aufzeigen, welche Folgen die aktuellen politischen Entscheidungen oder deren Ausbleiben auf unsere Zukunft als Gesellschaft haben. Insbesondere bei den Themen digitale überwachung durch private und öffentliche Stellen. Ulrich Kelber ist seit Januar diesen Jahres der Bundesdatenschutzbeauftragte, ist studierter Diplominformatiker, hat 20 Jahre im Bundestag als Bundestagsabgeordneter gearbeitet und war vorher Staatssekretär im Justizministerium. Bitte begrüßt ihn mit einem kräftigen Applaus. Applaus Ulrich Kelber: Ja, schönen guten Tag, auch von meiner Seite, hab mich sehr über die Einladung gefreut. Ich bin natürlich etwas beschämt, dass ich das erste Mal dabei bin, nämlich in den 20 Jahren, wo ich tatsächlich Abgeordneter war, hat meine Familie gestreikt: neben den Wochenenden, die immer dazugehören zur Arbeit, mir dann auch noch die Tage über Weihnachten für digitale Themen frei zu geben. Aber nachdem ich ja im Januar in den Job wechseln konnte, wo ich noch schön an einem Thema tief arbeiten kann, aber die Wochenenden jetzt freier zur Verfügung habe, durfte ich mir zumindest mal einen Tag dafür nehmen. Und ich hoffe, im nächsten Jahr vielleicht auch mal mit Übernachtung ein bisschen mehr reinschnuppern auch in das, was andere zu sagen und zu zeigen haben. — Applaus Ich habe in der Tat jetzt knapp ein Jahr in der neuen Funktion zubringen können, versuchen, das Thema in der Breite aufzunehmen, Schwerpunkte zu setzen, insbesondere bei den Aufgaben, die wir in den letzten Jahren auch hinzubekommen haben: die Durchsetzung der europäischen Datenschutzgrundverordnung, die Durchsetzung der ja erst noch in nationales Recht umzusetzenden Joint Implementation Richtlinie, die Regulierung von Scoring und Profiling, bereich- spezifische Gesetzgebung, die ja fast im Wochenrhythmus erfolgt, insbesondere im Sicherheitsbereich und natürlich jetzt auch drei Jahre oder dreieinhalb Jahre nach Inkrafttreten, anderthalb Jahre nach der vollen Wirksamkeit. Auch die Überlegungen zur Weiterentwicklung europäischen Datenschutzrechts. Und alles vor dem Hintergrund einer Entwicklung, wo im Augenblick Weichenstellungen in der Frage von Regulierung, Nichtregulierung, technische Entwicklung, Einführung von IT- Systemen gesetzt werden, die massive Auswirkungen auch auf unsere Gesellschaftsordnung haben. Mich interessieren die Debatten um digitale Überwachung, sei es durch private oder staatliche Stellen und insbesondere natürlich auch der regelrechte hysterische Wettlauf um immer neue Eingriffesbefugnisse von Sicherheitsbehörden. — Applaus — Ich bin überzeugt, dass wir schon die Weichenstellungen so vornehmen können, dass auch die digitale Gesellschaft eine freiheitliche, liberale und diverse Gesellschaft bleibt. Aber ausgemacht ist das noch keineswegs. Wir sehen immer wieder, dass die technischen und ökonomischen Aspekte dieser Debatte in den Vordergrund gestellt werden und dass es schwierig ist, durchzudringen mit gesellschaftspolitischen und datenschutzrechtlichen Fragestellungen. Und wenn es eine Debatte gibt über diese Weichenstellung in einer digitalpolitischen europäischen Debatte, dann werden eben vor allem diese technischen und okönomischen Aspekte herangezogen. Es wird verwiesen auf den Stand von ja durchaus durchaus weiterentwickelten Digital- Ökonomien in den USA und China, deren Vorsprung im Bereich von dem, was immer unscharf als „künstliche Intelligenz“ bezeichnet wird. Dass dieser Vorsprung uneinholbar geworden sei und wohlstands- gefährdend ist. Das wird durchaus als Druckmittel verwendet, um dann bei einzelnen Debatten festzulegen, in welcher Form darf es zu Datenverwertung mittels künstlicher Intelligenz, algorithmischer Systeme oder auch der Nutzung von Datenbanken an der Stelle kommen? Und wenn man etwas genauer hinschaut, dann ist es in der Tat natürlich so, dass in den USA und China in manchen Sektoren bereits eine andere Phase der technologischen Entwicklung eingetreten ist. Dort wird über deutlich höhere private und staatliche Mittel in dem Bereich investiert. Aber man merkt auch, dass beide Wirtschaftssysteme einen bestimmten Weg eingeschlagen haben für die Nutzung von IT-System. In China entsteht ein Überwachungssystem, das den Polizeistaat erst zur vollen Blüte bringen kann. Wer sich jetzt in den letzten Monaten ist das mal zum Thema geworden mit dem, was im Westen des Landes bei den Uiguren passiert. Aber ein System, wo das Verhalten aller Bürger digital überprüft wird, was manche ja – außerhalb dieser Halle natürlich – nicht verstehen, ist, wie analoges und digitales Leben heute so verschränkt sind, dass sie einander beeinflussen. Dass deswegen eben auch auf das Verhalten außerhalb der unmittelbaren digitalen Welt ein Verhaltensdruck ausgeübt wird. Wer sich im Sinne des Systems verhält, dem winken Prämien, Belohnungen, Vorteile. Wer das nicht tut, riskiert für sich und Angehörige Lebensmöglichkeiten vom Bildungssystem bis hin zur Mobilität. Und es ist spannend, wer diese Standards setzt. Es ist spannend, wie diese Standards sich ändern und vor allem, dass ein Gefühl entsteht, dass ich gar nicht mehr abschätzen kann: Wann werde ich eigentlich beobachtet, mein Verhalten interpretiert, gespeichert, bewertet von anderen. Und dies ist ein Gefühl, dass es keine Bereiche mehr der Möglichkeit gibt, sich ins Private zurückzuziehen, etwas zu tun, was vielleicht noch nicht von allen anderen so vorgelebt wurde, verändert auch das eigene Verhalten. Das ist eine Entwicklung, die sicherlich in Europa nur eine absolute Minderheit will, auch unter all denen, die politische Positionen haben oder in der Wirtschaft an entscheidenden Stellen kommt. Es gibt allerdings interessanterweise Studien, die unter jüngeren Menschen schon eine größere Zustimmung zu einem solchen System zum Ausdruck bringt, wo bestimmte Verhaltensweisen, die als durchaus … man fängt ja an, mit welchen, die tatsächlich vielleicht gesellschaftspolitisch von der großen Mehrheit nicht gewünscht sind, sanktionieren kann. Aber wie gesagt, die große Mehrheit will das nicht, und zwar weder vom Staat noch von privaten Konzernen. Also weder das chinesische Modell, noch das US-amerikanische Modell, die sich ja durchaus auch beide teilweise mit Aspekten des anderen – die USA im Sicherheitsbereich, die chinesische Seite mit dem Zusammenwirken zwischen Staat und privaten Konzernen – beginnt. Und auch wenn das keiner in Europa will, glaube ich, dass dieses Überwachungsgift durchaus in unser System träufelt von Tag zu Tag. Und zwar, dass man Überwachung durchführen will, weil man sie durchführen kann. Dass man Datensammlungen betreibt, wenn man diese Daten sammeln kann, weil Sensoren, Speicher und Verarbeitungsmöglichkeiten immer kleiner, schneller, besser und billiger werden. Und dass Dinge, die man vorher nicht gemacht hat, weil einfach der Aufwand zu groß war, jetzt praktisch im Vorbeigehen mitlaufen lässt. Und wo kann man dieses Gift schon spüren? Das spürt man, wenn die Geschäftsmodelle von Verlagen in den politischen Debatten Vorrang bekommen sollen vor der Unverletzlichkeit der Privatsphäre von Bürgerin und Bürger, wenn die Komfort gegen Daten getauscht wird, auch im Individualverhalten. Und wenn Sicherheit vor Freiheit gesetzt wird bei der Debatte: Was kann ich mit einem zusätzlichen Durchgriffsrecht, Eingriffsrecht von Sicherheitsbehörden erreichen? Dann erleben wir, dass die Bewertung von Verhalten und das Bewerten von Gesinnung, wenn sie in die Auswertung mancher Daten schauen und auch in die ein oder anderen Gesetzentwurf, wo jetzt auf einmal wieder aufgebracht wird, wer etwas unterstützt oder befürwortet, dass das ebenfalls Einfluss nimmt, damit Normmodelle setzt, die dann in der Verarbeitung von Daten überprüft werden durch Staat und durch private Stellen auch in der Europäischen Union. Und wie wir das ausgestalten, wie wir zum Beispiel über eine E-Privacy Verordnung in der Frage von Tracking sprechen, das ist eine dieser Weichenstellungen, die ich meinte mit dem Titel des Vortrags. Im Zentrum dieser Debatten steht tatsächlich das, was immer mit dem großen Schlagwort „Künstliche Intelligenz“ genommen wird. Sind genügend im Saal, mit denen man sich 2 Stunden darüber unterhalten könnte, was dieses Schlagwort wirklich meint und wo es nicht meint. Aber das lasse ich mal außen vor. Ich spreche über KI und algorithmische Systeme, mal als Bandbreite. Wir Datenschutzbeauftragten haben für uns erkannt, dass es unsere Arbeit verändert. Dass es aber eben auch eine große Auswirkung auf die Frage von Regulierung haben. Haben deswegen in diesem Jahr, im Frühjahr und dann ausgearbeitet noch bis in den Herbst bei der Tagung in Trier im Frühjahr die Hambacher Erklärung herausgegeben, auf Schloss Hambach. Wir haben dieses Symbol tatsächlich gewählt. Das Hambacher Freiheitsfest von 1832, wo die Grundrechte, die Bürgerrechte, auch in den Vordergrund gestellt wurden. Übrigens ein internationales Fest, weil es immer manche Deutschtümeler versuchen, für sich zu gewinnen. Es waren Franzosen und Polen und andere Delegierte dort. Und haben versucht, Grundprinzipien bei diesem Einsatz zu definieren. Menschen nicht zum bloßen Objekt einer solchen Datenverarbeitung zu machen, das Zweckbindungsgebot nicht fallen zu lassen. Nicht so einfach auch in der Entwicklung solcher Systeme. Die Transparenz, die Nachvollziehbarkeit und die Erklärbarkeit von KI-Systemen, die Verhinderung von Diskriminierung und den Grundsatz der Datenminimierung. Die letzten drei sind übrigens sehr interessant in der gesamten Debatte mit Techis, weil mir das selbst bei Leuten, die absolut liberal in ihren Grundsätzen sind, immer wieder auffällt, dass sie ablehnen diese Verantwortung in der Entwicklung von Systemen mit zu übernehmen. Uns wird dann entgegen geschleudert, das wäre ein Generalverdacht. Wir würden zusätzlichen Aufwand berücksichtigen. Aber ich glaube, wer solche Macht ausübt mit solchen Systemen in der Öffentlichkeit, der muss zumindest selber überlegen: Kann der Bereich, in dem ich gerade arbeite, Auswirkungen auf Menschen und Ihre Rechte haben? Und was muss ich dann berücksichtigen in der Entwicklung dieser Technologie? Wir haben natürlich auch über Verantwortlichkeit gesprochen. Jedes System muss auch jemand haben, den ich. Ansprechen kann auf Fehlverhalten, auf Diskriminierungspotenziale und ähnliches. Das kann nicht verwischen in einem komplexen Netzwerk unterschiedlicher Systeme. Und wenn man … — Applaus Und wenn man dann wirtschaftspolitisch an das Ganze herangeht, ist es regelrecht absurd, dass hier in Deutschland und in Europa, wo wir eigentlich Erfahrung mit Datenschutz und ich hoffe auch mit IT-Sicherheit haben, wo wir Gesetze haben, die uns dazu verpflichten, in diesem Bereich höhere Qualität anzubieten als in anderen Weltregionen. Dass in dieser Weltregion die Wirtschaftsverbände und die Unternehmen unterwegs sind, über diese Regulierungen jammern und in anderen Weltregionen mehr oder minder glaubhaft wie z. B. in den USA die ersten Unternehmen unterwegs sind und sagen: Wir wollen darüber werben für unsere Produkte, für unsere Dienstleistungen, dass wir über die gesetzlichen Vorgaben hinausgehen. Dass wir das von Anfang an mit rein nehmen. Hätten wir das auch bei Autos, Maschinen und anderen Produkten gemacht, wäre Deutschland ein armseliger Standort. Ich verstehe nicht, warum wir in der Digital- Ökonomie auf den niedrigsten Standard einen Wettlauf nach unten machen wollen, nach Meinung der Wirtschaftsverbände, anstatt mit Qualität und Unique Selling Points auch weltweit zu punkten. Das wäre im Datenschutz, in der IT-Security, wirklich möglich. Applaus Wir begegnen natürlich immer einem logischen Wunsch. Das ist wirklich bei Wirtschaft, Techies und großen Teilen der Politik gleich: Wir brauchen für die Optimierung von Prozesssteuerung, so die Argumentation, die deutliche Erhöhung der Menge an nutzbaren, qualitativ hochwertigen Daten. Ich will mich dem übrigens keineswegs verschließen, weil ich durchaus der Meinung bin, selber eine ganze Reihe von Prozessen zu sehen, wo ich mit dem richtigen Zugriff auf verantwortlich zur Verfügung stellbare Daten, deutliche Verbesserungs-, Optimierungs- und Fortschritts-Potenziale sehe. Aber es geht doch darum, den Prozess so zu organisieren, dass Persönlichkeitsrechte, das Recht auf informationelle Selbstbestimmung und andere Grundrechte nicht eingeschränkt werden, nicht verletzt werden, sondern dass wir die neuen technischen Möglichkeiten sogar nutzen, um informationelle Selbstbestimmung an Stellen zu schaffen, wo ich sie in der Vergangenheit gar nicht hatte, weil sie mir nicht zur Verfügung gestanden hat. Und diese Debatte zu führen und anders auf den Markt zu treten, das ist der Vorschlag, den die deutschen Datenschutzbehörden mit der Hambacher Erklärung und anderen Beschlüssen gefasst haben. Und auch der Europäische Datenschutz-Ausschuss ist uns dort vor kurzem gefolgt. Ich glaube, dass die Regulierung von künstlicher Intelligenz, von algorithmischen Systemen, da eintreten muss, wo Gefahr für diese Rechtsgüter besteht – des Einzelnen oder der Allgemeinheit. Sie haben vielleicht zum Teil mitverfolgt, dass es manche gibt: Der Datenschutz übernähme sich, sagen die, wenn er nicht nur den Schutz des Einzelnen, sondern einen gesellschaftspolitischen Zweck verfolgt. Aber natürlich habe ich viele Stellen, wo die Frage des Schutz des Einzelnen ohne eine Beantwortung der Rechte in der Gemeinschaft gar nicht zu leisten ist. Vom simpelsten Beispiel an: wenn ich zulasse, dass bestimmte Daten erhoben werden können, freiwillig, dann ist derjenige, der nicht bereit ist, freiwillig sie zur Verfügung zu stellen, natürlich am Ende der*die Gekniffene, wenn die anderen diese Daten zur Verfügung gestellt haben. Deswegen ist es richtig, an einem solchen Beispiel, wo es um besonders sensible Daten geht, natürlich ein Erhebungs- und Verwertungsverbot allgemein auszusprechen und es nicht mehr auf die Freiwilligkeit zurückfallen zu lassen. — Applaus — Und diese Idee, auch technologische Entwicklungen und deren Einsatz regulieren zu wollen, ist aber auch gar nichts Neues. Das haben wir doch immer so gemacht. In den letzten zwei, dreihundert Jahren, seit wir eine einigermaßen entwickelte Zivilgesellschaft und politische Debatte haben. Wir haben es bei Dampfkesseln gemacht, wir haben es bei medizinischen Geräten, Autos und Handys gemacht. Was sollte uns davon abhalten, diese Debatte zielgerichtet und praktikabel auch im Bereich von Software und von Hybrid-Systemen einzuführen? Ein Beispiel dafür; das war ja etwas, was die Datenethikkommissionen genannt hatte, als sie gesagt hat, es muss auch die Möglichkeit des Verbots – um jetzt mal die weitestgehende Möglichkeit zu benennen – von Algorithmen mit unvertretbarem Schädigungspotenzial geben. Schon diese – eigentlich selbstverständliche – Forderung „unvertretbares Schädigungspotenzial“ hat zu Widerspruch bei einigen Wirtschaftsverbänden geführt. Also was das für ein Verständnis der Rolle von Staat als Zusammenschluss der Gesellschaft gibt: „Es gibt bestimmte Dinge, die ich nicht zulasse. Bestimmte medizinische Geräte sind nicht zugelassen. Der Verkauf von Organen ist nicht zugelassen. Kinderarbeit ist nicht zugelassen.“ Und warum soll ich nicht die Erlaubnis haben, bestimmte Software-Einsätze zu regulieren bis hin zu einem Verbot? Wir unterhalten uns ja über eine kleine Spitze in einem unglaublich innovativen Markt, wo 99,99% aller algorithmischen Systeme, die in Umlauf kommen, nie mit einer Aufsicht oder einer Kontrolle zu tun haben werden. Aber um diese Spitze müssen wir uns kümmern. Ich will jetzt nicht das ohnehin gestresste Beispiel von automatischen Waffensystemen oder Hochfrequenzhandel heranbringen. Aber schon im Bereich der Bildung, von persönlichen Profilen und der Frage, wem sie zur Verfügung gestellt werden dürfen oder nicht, kann es solche unvertretbaren Schädigungspotenziale geben und damit die Möglichkeit auch des Verbots in der Regulierung. — Applaus — Und in der Tat kämpfen wir darum, dass das Prinzip der Datenminimierung – so heißt es jetzt in der deutschen Version des europäischen Datenschutzgrundverordnung. Früher hieß es mal Datensparsamkeit –, dass dieses Prinzip nicht über den Haufen geworfen wird. Es wird angegriffen von allen Ecken: aus dem technischen Umfeld, aus den Wirtschaftsverbänden, aus der Politik bis hoch zu den Reden von Wirtschaftsministern und Bundeskanzlerin. Ich glaube teilweise auch aus dem Unverständnis heraus, was der Begriff eigentlich bedeutet. Er heißt ja nicht „Schmeiße alle Daten weg, die du hast“, also Datenarmut. Sondern er sagt „Ja, du hast nicht das Recht, Daten zu erheben, die du nicht benötigst für die Erbringung der Dienstleistung oder des Produkts. Weil diese Daten dich nichts angehen von einer Bürgerin oder einem Bürger. Und an bestimmter Stelle darfst du Daten auch nur weiterverwenden – und bitte jetzt kein Aufheulen, weil ich jetzt auch hier einen holzschnittartigen Pulk mache – wenn du Anonymisierung oder Pseudonymisierung verwendet hast. Ich weiß auch, dass es keine absolute Anonymisierung gibt. Den Einschub mache ich mal kurz. Aber es gibt natürlich situationsgerechte Anonymisierung. Wenn ich für einen Bruchteil der Sekunde für eine Steuerung Daten brauche, dann ist das natürlich eine andere Form des Aufwands, um in dem Augenblick an Daten zu kommen, wenn sie danach gelöscht werden, als wenn ich z. B. biologische Daten für 30 Jahre ablege und überhaupt nicht weiß, mit welchen Technologien oder anderen Datenbanken, die in Zukunft begegnet werden können, zu einer Repersonalisierung. Wir glauben aber auch, dass technologische Entwicklungen wie dezentrales Lernen oder datenschutz- konforme Data Spaces die Möglichkeit geben, mit vielen Daten im Bereich der künstlichen Intelligenz die Prozesssteuerung zu optimieren. Aber wir wollen eben auch eine solche Herangehensweise haben und nicht die Idee, große Data Lakes zu bilden, mit denen ich dann später mal reinschaue: Was ist möglich? Und dann, allerhöchstens wenn es schon einen Missbrauch von Daten gegeben hat, zu gucken: Entdecke ich diesen Missbrauch, kann ich ihn ahnden? Und finde ich dann als Aufsichtsbehörde auch noch ein Gericht, das am Ende, wenn ich gesagt habe „Das will ich bestrafen“, mir dann auch noch Recht gibt. Denn ich muss ja jedes Mal, wenn ich eine Entscheidung treffe, eine Behörde oder ein Unternehmen mit einer Sanktion zu belegen – beim Unternehmen das Bußgeld durchaus, bei einer Behörde vielleicht die Untersagung – damit rechnen, dass ich vor Gericht so etwas auch verlieren kann. Dementsprechend kann es länger dauern. Und es liegt ja nicht nur in meiner Hand, wie am Ende die Praxis aussehen wird. Deswegen brauchen wir eine ganz klare Regelung zu diesem Bereich. Das ist eben kein Bremsschuh für Innovationen, wenn man es von Anfang an mitdenkt. Und wenn ich bei Wirtschaftsverbänden spreche, stelle ich einfach immer frech die Frage: Glauben Sie denn, dass Sie als Silicon Valley-2 oder als China-2 wirtschaftlichen Erfolg haben werden? Oder sind Sie dann der billige Abklatsch? Wäre es nicht besser, unsere eigenen Werte einer IT-, einem KI-Verständnis mit europäischen Werten abzubilden und dafür im Wettbewerb nach Unterstützung zu suchen? Und zwar in Europa, aber auch bei den Menschen in der Welt, die gerne andere Werte in ihren Sicherheitssystemen in ihrem privaten Datennutzung verankert hätten, als sie das in ihren Ländern haben. Das war die Idee hinter der Datenschutzgrundverordnung ohne Rücksicht auf den Standort eines Unternehmens Europäerinnen und Europäer zu schützen und auch die Idee, dieses Recht zu exportieren. Und im Augenblick sehen wir die ersten Erfolge, dass andere Länder Datenschutzrechte auf Grundlage der Datenschutzgrundverordnung entwickeln. Wir sind also hier an einer Stelle in einen Wettbewerb eingetreten, mit amerikanischem Recht, mit den Überlegungen in China. Ich glaube, Europa sollte selbstbewusst sein, diesen Wettbewerb anzunehmen. — Applaus Wir erleben, dass nach wie vor die großen Internetkonzerne – und ich bedauere jeden Tag, dass wir zu keinem der großen Entscheidungen schon eine entsprechend … oder der großen offensichtlichen Datenschutz- Verstöße durch große Internetkonzerne schon eine Entscheidung auf europäischer Ebene getroffen haben. Ich dringe bei jedem Treffen des Europäischen Datenschutzausschuss darauf, dass von den vor allem federführenden Behörden in Irland und Luxemburg diese Entscheidungen jetzt vorgelegt werden. Sie werden übrigens nachher mit Mehrheit im Europäischen Datenschutzausschuss beschlossen. Also man kann sich nicht hinter einer nationalen Behörde verstecken, weil nach wie vor unter den Standardeinstellungen der großen Anbieter – sei es die aus den USA, aber auch die zunehmend in den Markt dringenden, vor allem auch aus China und aus Russland; andere werden kommen –, dass schon unter den Standardeinstellungen weiterhin ungehemmt persönliche Daten abgegriffen werden. Man ist formal datenschutzkonform, aber sammelt diese Daten ein und es bräuchte in der Tat technische Kenntnisse, die hier im Saal vorhanden sein werden, aber nicht im ganzen Land vorhanden sind, nie vorhanden sein werden und nicht auch nicht vorhanden sein müssen, weil man auch durchs Leben gehen muss, ohne Expertin oder Experte zu sein. Wenn man diese Kerneinstellungen nicht kennt, verliert man bei diesen Anwendungen, bei diesen Systemen Daten. Und selbst die, die versuchen, diese Daten- Sammler zu meiden, gehen dort auf den Leim, verlieren dort ihre Daten, wenn über Tracking Tools, über Plug-Ins und Source Code Development Kits diese Daten auch bei Dritten gesammelt werden. Und auch in diesen Fragen ist bisher leider außer einem Versuch des Bundeskartellamts, das nicht an die gleichen Regeln gebunden ist wie ich als Bundesdatenschutzbeauftragter, kein Versuch unternommen worden, das zu stoppen. Ich habe bis heute die Entscheidung des Düsseldorfer Gerichts – soviel darf ich ja, wo ich jetzt kein Staatssekretär im Justizministerium bin, ja mal sagen – nicht nachvollziehen können. Ich glaube, da war etwas zu wenig Berücksichtigung von Datenschutzgrundverordnung und verändertem Wettbewerbsrecht seit 2016 in der Betrachtung enthalten. Also wir brauchen die Durchsetzung des bestehenden Rechts. Wir brauchen Zertifizierung und Labeling, damit man bestimmte Produkte nehmen kann, sicher weiß, das Produkt für sich hält die Regeln ein. Jetzt kann ich darauf meine nächste Dienstleistung optimieren. Und natürlich brauchen wir auch Digital Literacy in der Bevölkerung bis zu einem bestimmten Grad. Ich muss wenigstens ungefähr verstehen, auf was ich mich in einer digitalen Gesellschaft einlasse. Ich persönlich würde mir wünschen, dass wir die Möglichkeiten des Schutz der Privatsphäre durch Technik stärker ausarbeiten, also PIMs und PMTs fände ich wichtig, in einer Form einzuführen, auf die man sich verlassen kann. Eins gilt: wenn große Konzerne Standards, die mal eingeführt wurden, um sich zu schützen wie den Do-not-Track-Standard, einfach ignorieren, dann ist das nichts anderes als ein Betteln um staatliche Regulierung. Wer sich nicht an Standards hält, der möchte Regulierung vom Staat bekommen. Und aus meiner Sicht sollten sie die mit der E-Privacy Verordnung auch bekommen. Applaus — Normalerweise müsste ich als Leiter einer Datenschutzbehörde aufschreien bei Ideen wie Interoperabilität, weil Interoperabilität Datenaustausch auch bedeutet. Aber ich sehe heute einen Markt, der sich oligopolisert. Und wenn ich die Markteintrittsbarrieren für neue Anbieterinnen/Anbieter senken will, dann muss ich eine datenschutzfreundliche Interoperabilität für die Anwendungen, die so wichtig geworden sind auf dem Markt, dass sie andere Dienste ersetzen, in denen die Interoperabilität seit Jahren und Jahrzehnten gilt, auch vorschreiben. Ich meine zum Beispiel im Bereich von Social Media und von Messenger Systemen. Dort könnte man mit solchen Schritten durchaus auch europäische Alternativen, am besten natürlich auf Open-Source Basis vorstellen. Ich würde mich freuen, wenn es die deutsche Verwaltung der französischen nachtun würde, vielleicht sogar mit den Franzosen gemeinsam ein System entwickeln, das dann schon mal 10 Millionen Grundnutzerinnen und Grundnutzer in Zentraleuropa hätte. Das wäre ein Anfang, mit dem man mit ganz anderer Schlagkraft eine solche Open-Source Messenger Plattform in Europa etablieren könnte. Applaus — Wir wollen für alle Formen von Datenverwertung die gleichen Regeln haben. Das gilt auch für die Sicherheitsbehörden, die ja, wenn es Bundessicherheitsbehörden sind, auch meiner Aufsicht unterliegen. Seit 2001, seit dem 11. September, sind in einer Geschwindigkeit neue Sicherheitsgesetze in Deutschland dazugekommen, die es schwierig machen, noch nachzuvollziehen, was tatsächlich der Stand des Datensammelns ist. Es hat nie eine Evaluierung der Gesetze gegeben, ob sie erfolgreich waren oder nicht. Wir erleben dass teilweise neue Datenschutz- Befugnisse gar nicht in der Breite verwendet werden. Die Daten werden gesammelt, aber nicht ausgewertet, weil natürlich längst das Personal fehlt. Wir haben problematische Datensammlungen, die selbst von den Praktikerinnen und Praktikern in den Sicherheitsbehörden als überflüssig eingestuft werden. Gleichzeitig gibt es aber natürlich auch immer wieder unbefugte Zugriffe auf solche Daten. Wenn Sie den Tagen zum Beispiel nochmal von der Berliner Polizei das gelesen haben, wo die Löschmoratorien dazu führen, dass seit 2013 keine Daten mehr aus den polizeilichen Informationssystem genommen werden, selbst wenn sie nur Opfer oder Zeuge einer Straftat waren. Und die Daten aber nicht etwa eine Zugriffsbefugnis zum Beispiel für einen Untersuchungsausschuss bekommen – Anis Amri oder NSU –, sondern weiterhin für alle Polizistinnen und Polizisten zugreifbar bleiben. Zu einem Protokollierung stattfindet, man aber nicht einmal begründen muss, warum man darauf zugegriffen hat, und man sich dann wundert, dass auf die Daten bestimmter Prominenter besonders häufig zugegriffen wird, auf die Daten von Kolleginnen und Kollegen oder auch auf Nachbarn von Menschen, die Zugriffsbefugnisse haben. Und solange das der Stand ist, wäre das natürlich nicht wichtig, Löschmoratorien zu haben, sondern ein Sicherheitsgesetz- Moratorium in diesem Land einzulegen und erst mal zu prüfen: Wo sind wir eigentlich übers Ziel hinausgeschossen? Wo gibt es andere Mängel zu beseitigen, als laufend Bürgerrechte einzuschränken? Mit der Sammlung zusätzlicher Daten über die Bürgerinnen und Bürgern. Das täte Bürgerrechten und Sicherheit besser als das nächste Gesetz. — Applaus —Stattdessen sollten wir beim Datenschutz nachschärfen Die Datenschutzgrundverordnung ist ein großer Wurf, sie hat auch international Strahlkraft, aber sie hat natürlich auch ihre Grenzen, wo wir heute schon merken, dass sie technologischen Entwicklungen nicht ausreichend gefolgt ist, wo es damals keinen Kompromiss gab und sie immer noch auf dem Stand von 1995 ist. Wenn ich jetzt fragen würde, wer 1995 noch gar nicht geboren war, würden wahrscheinlich einige Finger hochgehen. Sie können sich aber überlegen, was das für ein Stein- zeitalter aus technologischer Sicht ist. Wir müssen es auch deswegen machen, weil wir auch Vertrauen in Digitalisierung gewinnen müssen. Ich glaube nämlich nicht, dass Daten der Rohstoff des 21. Jahrhunderts ist, sondern Vertrauen! In einer so komplexen Welt, wo ich gar nicht mehr weiß – Wo werden Daten erhoben, wer verwendet sie und ähnliches mehr? – kann ich nicht mir jedes einzelne Produkt, jede einzelne Verbindung überprüfen, sondern ich muss ein System haben, in dem ich der Anbieterin oder Anbieter, sei es staatlich oder privat, ein Grundvertrauen entgegenbringen kann, weil sie bewiesen haben, dass sie bestimmte Standards jedes Mal einhalten, wenn sie hereingehen, weil sie unabhängig überprüft werden können und weil sie schwer bestraft werden, wenn sie sich an diese Standards dann bei einem Produkt nicht gehalten haben. Wenn wir dies nicht machen, wenn wir das nicht machen, hat es zwei Folgen. Es wird sich gewehrt werden gegen Digitalisierung, da, wo es möglich ist. Andere werden gar nicht hineingehen. Wir wollen weder einen Fatalismus nach dem Motto „Da kannst du nichts machen, ich stimme allen zu“. Und auch keine digitale Askese haben. Wir möchten, dass Digitalisierung gesellschaftliche Innovation und nicht nur technologische Innovation ist. — Applaus Deswegen sind wir unterwegs und möchten in den Bereichen von Scoring und Profiling – das sind ja die Schwestern des Trackings; Ich versuche, Leute einzuordnen, zu kategorisieren, statistisch in Gruppen einzuteilen –; Da brauchen wir klare Nachschärfungen. Und wir wollen natürlich gerade den kleinen Unternehmern und den Start-Ups und den Einzel-EntwicklerInnen und -Entwicklern Erleichterungen im Bereich der Informations- und Dokumentationspflichten verschaffen. Da glaube ich durchaus, kann man an einigen Stellen zurückdrehen, wenn man dafür an anderen Stellen das Datenschutzniveau durchaus höher wertet. Wir versuchen zu helfen, über Guidelines und Auslegungs- Papiere, die wir heranziehen. Wir würden aber gerne eins machen. Derzeit ist immer Verantwortlicher im Sinne des Datenschutzrechts die Person, die ein System gegenüber Bürgerinnen und Bürgern, Kundinnen und Kunden zum Einsatz bringt. Ich glaube, dass wir die Herstellerinnen und Hersteller von Systemen stärker in die Verantwortung nehmen müssen und nicht nur wegen Debatten, die Sie hier auf ihrem Kongress selber in den letzten Tagen ja geführt haben, und interessanten investigativen Dokumenten, die Sie veröffentlicht haben, sondern nur dann ist das möglich. Ich habe hier nur kurz gestanden und bin wieder auf die üblichen Probleme angesprochen worden. Wie ist es mit dem Einsatz von Windows 10 in meiner Rechtsanwaltskanzlei, in meiner Behörde in ähnlichem mehr? Und dann immer zu sagen, „Ja derjenige der es einsetzt ist der Verantwortliche im Sinne des Datenschutzrechts“ ist, glaube ich bei immer komplexer werdenden Systemen, bei der Verabschiedung von der On-Premise-World einfach zu kurz gesprungen und muss sich technisch an der Stelle durchaus weiter bewegen. Es gibt also eine ganze Menge zu tun. Der Deutsche Bundestag hat uns freundlicherweise eine deutliche Aufstockung an Stellen gegeben. Vielen Dank an die anwesenden Bundestagsabgeordneten, damit wir ein Stück noch mehr machen können. Sehr viel werden wir in der Tat in den Sicherheitsbereich investieren. Wir stellen übrigens auch ein und deswegen an alle, die im Saal sind: Wir brauchen Sie als Unterstützerin und Unterstützer in der Sache. Wir brauchen Sie als konstruktive KritikerInnen und Kritiker. Wir brauchen Sie als Beispielgeber und Beispielgeberinnen für datenschutzfreundliche, innovative Technologien. Und wir würden auch gerne viele von Ihnen als Mitarbeiterinnen und Mitarbeiter gewinnen. Es ist schön auf der hellen Seite der Macht – kommen Sie zum BfDI! Vielen Dank für das Interesse bis zu dem Zeitpunkt. Ich freue mich noch auf die Diskussion. Applaus Herald: So, wenn ihr Fragen habt, dann stellt euch bitte an die Mikrofone hier im Saal und versucht eure Fragen kurz zu formulieren. Frage Nummer 1 geht an den Signalangel. Signalengel: Hier eine Frage von Mastodon: Nach dir hält auch Arne Semsrott von Frag den Staat seinen Talk. Du bist ja auch Informationsfreiheitbeauftragter. Hast du eine Erklärung, warum Ministerien und Behörden, die selber immer mehr Befugnisse fordern, so unwillig sind, selber diese öffentliche Daten auch preiszugeben? Kelber : Nein. — Lachen, vereinzelt Applaus Und selbst dann, wenn sie gute Beispiele haben. Als wir damals im Justizministerium 2013 als neue Mannschaft angefangen hatten, haben wir uns nach ein paar Wochen entschieden, dass wir alle Stellungnahmen, die im Rahmen zu Gesetzentwürfen ans Ministerium geschickt werden – ist ja Teil der Gesetzgebung, dass man dann sagt, jetzt hätten wir gerne Kommentierungen von Verbänden, Organisationen und anderen – dass die alle öffentlich gemacht werden. Es ist keine einzige weniger reingekommen, aber jeder kann nachprüfen: Von wem sind welche Anregungen zwischen Gesetzentwurf und endgültigem Gesetz eingeflossen oder nicht. Das ist das, was ich als Vertrauensbildung meine. Es haben teilweise einige übernommen, nachdem sie vor Gericht dazu gezwungen wurden, haben das wieder eingestellt. Jetzt machen Sie es wieder. In der Tat kann Informationsfreiheit für eine Behördenleitung auch extrem ätzend sein. Und zwar nicht, weil irgendwas Unangenehmes nachher veröffentlich wird. Dann muss man halt aufpassen, dass man in den Kommentaren, die man auf was drauf schreibt in der Wortwahl gemäßigt bleibt. Also schreibe ich nicht drauf. „Der Idiot“ oder so, sondern schreibe ich „Ich bin nicht dieser Meinung“. Aber es kann natürlich unglaublich viel Arbeit sein. Ich ärgere mich auch; ich bekomm irgendeine Beschwerde ins Haus. Nach zwei Wochen stellt einer einen Informationsfreiheitsantrag alle E-Mails, die zu der Beschwerde in unserem Haus geflossen sind, zu sehen. Dann schreiben wir ihm als Zwischengeschichte auch noch zusätzlich zurück. Jetzt haben wir die Stelle um Stellungnahme gebeten. Dann kriegen wir sofort Informationsfreiheitantrag, den gesamten E-Mail-Verkehr mit der Stelle zu bekommen und am Ende anstatt 10 Beschwerden bearbeiten zu können, sind wir mit einer Person beschäftigt. Das ärgert einen. Wir sind natürlich die Guten. Da wir die Informationsfreiheit haben, machen wir natürlich gerne mit Freude. Aber wenn ich zu ’ner Ministerin oder Minister gehe, die kennen alle nur wieviele Leute werden abgezogen, um auch seltsame Informationsfreiheitsgeschichten zu machen? Ich stoße dort auf wenige Fans. Zu glauben, dass wir in absehbarer Zukunft auf Bundesebene eine deutliche Verbesserung des Informationsfreiheitsgesetz sehen, bezweifle ich. Da ist noch viel Überzeugungsarbeit zu leisten. Herald: Mikrofon Nr. 4. Deine Frage bitte. Frage: Herr Kelber, es ist Ihre Aufgabe, die Geheimdienste und Sicherheitsbehörden zu kontrollieren und den Datenschutz auch dort. Sind Sie der Meinung, dass Sie das effektiv tun können und ausreichend Fähigkeiten und Befugnisse haben? Und wenn nein, was fehlt? Kelber: Die Kontrolle im Bereich der Erhebung und Verarbeitung von Daten in dem gesamten restlichen Bereich? Ich glaube, mit den zusätzlichen Stellen, wenn wir sie besetzt haben, haben wir durchaus erst einmal Ressourcen, um auch die Kontrolldichte hochzuhalten. Wir werden selber arbeiten müssen bei der Überlegung, wie technologische Veränderungen und auch Veränderungen in den Informationssystemen der Dienste unsere Kontrolltätigkeit gegenüber früher verändern. Aber das ist natürlich ganz was anderes. Ist Zugriff auf eine sequentielle Datenbank mit einem Gothemsystem vom Palantier, wenn es zum Einsatz käme, was in der Kontrolle in dem Unterschied ist, in der Zusammenarbeit der Dienste untereinander mit dem Ausland, gibt es aus meiner Sicht durchaus Kontrolllücken. Da versuchen wir auch, mit den anderen Aufsichtsgremien wie der G-10-Kommission und der unabhängigen Gruppe im Kontakt zu sein. Und ich hätte gerne natürlich … also in der Joint Implementation Richtlinie, die ich vorhin erwähnt hatte, ja, für den Staatsbereich gilt. Die ist ja in Deutschland auch nach 3 Jahren noch nicht vollständig umgesetzt. Im Bereich des BKA haben wir Untersagungsrechte. Die müssten wir im Bereich der Bundespolizei auch haben. Die hat man noch nicht eingerichtet als Gesetzgeber. Das ist ein Verstoß gegen Europarecht in Deutschland. Wo es nicht vorgeschrieben wird durch Europarecht, aber sinnvoll wäre, wäre diese Untersagungsrechte auch für die Dienste zu haben. Das würde dann nicht nach dem Motto, Ich sage dann „aber die waren jetzt ganz gemein, haben sich nicht ans Recht gehalten“, sondern ich könnte dann in einem besonderen Fall in Zukunft untersagen die Nutzung von Daten oder die Löschung anweisen. Und der Dienst müsste vor Gericht gehen und müsste vor Gericht meine Anweisung widerrufen lassen. Ich glaube, das wäre der bessere Weg für die Aufsicht und würde auch mehr Verständnis für die Arbeit der Dienste wecken. Aber auch dafür gibt es noch keine Mehrheit beim Gesetzgeber. Herald: Mikrofon Nr. 2. Deine Frage bitte. Frage: Sie haben gesagt, dass wir ein gewisses Maß an Digital Literacy brauchen, um der Probleme Herr werden zu können. Ich sehe gerade das Problem, dass wir politisch eher in die entgegengesetzte Richtung steuern, primär weil kommunal z. B. Meldedaten verkauft werden und die Bundesregierung auch eher rhetorisch so eine … ökonomisch orientierte Linie fährt. Wie werden wir dieser Sache Herr? Kelber: Ich meinte ja mit dem Begriff Digital Literacy, dass die Leute ein Grundverständnis für digitale Vorgänge haben. Was passiert? Was passiert mit Daten? Wie funktionieren IT-Systeme? Algorithmische Systeme? Das wird übrigens—der Teil ist sicherlich auch eine Aufgabe von Schulen und Bildungsinstitutionen. Da aber 80 Prozent der Bevölkerung die Schulzeit hinter sich haben und mehr, werden wir sie auch über andere Wege erreichen müssen. Dazu gehören übrigens auch in den Informationspflichten in der Datenverarbeitung nicht mehr „Ich mache eine super lange Information“, sondern ich muss an einer Stelle, wo etwas passiert, eine leichte Erläuterung des Vorgangs haben, damit die Menschen tatsächlich mit dem Vorgang, den sie machen, ein Verständnis entwickeln können. Was Sie meinen, ist ja die Frage, wie ist eigentlich die Souveränität? Wie kann ich wenigstens wissen, was passiert? Was darf der Staat machen? Schaffen die gesetzliche Grundlage für die Weitergabe von Daten einfach nur, weil sie davon ausgehen, dass sie nicht genügend freiwillige Einverständnisses bekommen. Da muss sich der Gesetzgeber zurückhalten. Er sollte bei den gesetzlichen Grundlagen trotzdem ’ne Verhältnismäßigkeit bewahren. Ist übrigens auch etwas, was wir natürlich in unseren Stellungnahmen immer mitprüfen und was auch vor Gericht angegriffen wird von Nichtregierungsorganisationen. Das zweite ist, das war das, was ich vorhin meinte technische Maßnahmen, die den Bürger auf einen höheren Stand nehmen. Wenn wir jetzt wirklich mal an eine Registermodernisierung in Deutschland herantreten, bitte bitte nicht – weil es aus meiner Sicht verfassungswidrig ist – mit einem einheitlichen Identifier. Kann man auch anders machen. Aber dann wäre wirklich mal ein Datencockpit, wo Bürgerinnen und Bürger sehen, zumindest mal vielleicht außerhalb der unmittelbaren Sicherheitsdienste schon mal sehen können: Wer hat welche Daten, wer hat sie abgerufen und mit wem geteilt? Von allen staatlichen Registerstellen. Das kann man heute technisch herstellen, und das wäre dann auch ein Gebot, dass der Bürgerinnen und Bürger etwas davon haben, wenn der Staat seine IT-Systeme modernisiert. Applaus Herald: Mikrofon Nummer 8 Deine Frage bitte. Frage: Sie haben ja vorhin gesagt, dass ein möglicher Weg zu sichereren oder datenschutzfreundlicheren IT-Produkten die Standardisierung und Zertifizierung sein könnte. Was konkret ist denn da schon in der Entwicklung? Auf was können wir uns einrichten? Es gibt ja die ISO 27001, aber da ist der Datenschutz eher ein optionales Randthema. Und, genau, was kommt jetzt konkret? Kelber: Bei der Standardisierung sind wir glaube ich noch nicht sehr weit. Aber wir werden für die Entwicklungsmodelle gerade im Bereich algorithmischer Systeme und KI- Systeme, denke ich, nochmal für erweiterte Standardisierung brauchen, mit der ich wenigstens Modelle habe, wie ich in der Entwicklung bestimmte Dinge berücksichtige. Wann mache ich welche Folgenabschätzungen? Wie steht die Zurverfügungstellung von Daten aus? Wie sieht die Kontrolle von Datenqualität aus, und und und. Bei der Zertifizierung sind wir ein Stückchen weiter. Ich spreche jetzt bewusst nicht von Siegeln wie in dieser Debatte über das IT-Siegel, das ja dann logischerweise, wenn es ein Siegel sein soll, auch weit über gesetzliche Vorgaben hinausgehen müsste, sondern dass wir ermöglichen, dass man, wenn man ein Produkt hat, sich durch eine Zertifizierungsstelle, die beliehen ist, zertifizieren lassen kann, dass man damit die Anforderungen des Gesetzes eingehalten hat. Das heißt, der nächste, der es einsetzt, bekommt das Siegel. Wenn ich das wie vorgeschrieben einsetze, dann ist dieser Bestandteil DSGVO-konform, und ich muss mir bei dem, was ich add-on mache, bin ich dann der Verantwortliche. Da sind wir jetzt so weit, dass der Europäische Datenschutzausschuss seine Guideline verabschiedet hat. Danach haben Sie erlaubt, dass die Nationalstaaten ihre einbringen. Das haben wir im nächsten Monat gemacht. Ich hoffe, dass wir spätestens im Februar die Genehmigung durch den europäischen Datenschutzausschuss für die deutsche Variante bekommen. Dann dürften in diesem Jahr noch die ersten Akkreditierungen, ersten Zertifizierer, durch die deutsche Akkreditierungsstelle zugelassen werden. Ich erwarte, dass zum Beispiel im Bereich der Cloud-Dienste ein solcher Zertifizierer an den Start geht. Herald: Mikrofon Nummer 1, deine Frage bitte. Frage: Vielen Dank für den Vortrag, auch dass Sie hier auf dem Kongress sind. Ja, ich bin seit einiger Zeit verantwortlich in IT-Management-Positionen … Herald: Bitte die Frage! Frage: … und auch da implementierte ich natürlich sehr viele Datenschutzmaßnahmen. Sie haben es kurz angesprochen. Mich würde interessieren, wann wir auch mal Ergebnisse sehen im Bereich der großen Internetkonzerne – Google, Facebook, Amazon und so weiter, ob dann auch mal vielleicht Bußgelder etc. auch an diese großen Unternehmen zugeteilt werden. Kelber: Der Druck natürlich auf die Ba… Ich habe ja vor allem zwei nationale Datenschutzbehörden genannt, die die Zuständigkeit haben für besonders viele der großen Internetkonzerne. Ganz kurzer Exkurs europäisches Datenschutzrecht, sogenannter One-Stop-Shop. Die nationale Behörde, in der der Hauptsitz innerhalb der Europäischen Union ist, ist zuständig. Das heißt, bei den Großen wie Google und Facebook und Microsoft und Apple ist das z. B. Irland. Bei Amazon ist es Luxemburg als ein Beispiel. Und das sind natürlich erstens relativ kleine Datenschutzbehörden. Sie haben einen besonders wirtschaftsfreundliches Verwaltungsrecht,—vereinzelt Applaus— … Ja, es sind besonders hohe Vorgaben dran, was man alles tun muss, bevor man überhaupt einen Bescheid herausgeben darf. Wenn meine irische Kollegin so über Fälle sprechen würde, wie ich das in Deutschland mache, würde sie sofort vor Gericht scheitern. Weil dann würde der Richter sagen „Sie waren voreingenommen in der gesamten Betrachtung“, völlig egal, ob sie selber die Untersuchung gemacht hat oder jemand anderes. Trotzdem haben wir gesagt, es sind jetzt über 600 Tage, und wir wollen zu sehr offensichtlichen Datenschutz- Verstößen jetzt den Vorschlag der Iren und der Luxemburger auf den Tisch kriegen. Und dann schauen wir anderen uns an, ob wir der gleichen Meinung sind. Und wenn wir nicht der gleichen Meinung sind, dann wird mit Mehrheit im Europäischen Datenschutzausschuss darüber abgestimmt, wie die Sicht der europäischen Datenschutzbehörden sind. Und das ist dann der erlassene Bescheid. Das heißt, die Gefahr, dass wie in Deutschland das Kraftfahrzeugbundesamt einfach alleine entscheidet, entsteht am Ende im Datenschutz nicht. Da können dann die anderen Kraftfahrzeugsbehörden das Kraftfahrzeugbundesamt bei Dieselgate überstimmen. Das wäre doch schön, wenn es da auch gegeben hätte. Aber es dauert halt. Ich habe jetzt den Iren angeboten, dass sie uns mal einen Fall abtreten dürfen. Wir haben auch Fälle vorgeschlagen. Bisher ist das noch nicht beantwortet worden. Der irische Staat hat nur einen minimalen Aufwuchs in diesem Jahr wiedergegeben der Datenschutzbehörde. Die ist schon gewachsen in den letzten Jahren nur ein Viertel von dem, was die Kollegin beantragt hatte. Und das ist ein Staat … es ging um 5 Millionen Euro im Jahr. Der gleiche Staat, der im Augenblick vor Gerichten, versucht zu verhindern, dass Apple ihm 14 Milliarden Euro Steuern bezahlen muss. Da merken Sie, was der Gedanke dahinter ist. Ich habe bewusst Dieselgate verwendet, um deutlich zu machen: Das ist ja auch den Nationalstaaten in der Europäischen Union nicht fremd, sich schützend vor einen Wirtschaftszweig zu stellen. Aber das dürfen wir ihm einfach nicht durchgehen lassen. Aber wann es soweit ist, kann ich Ihnen noch nicht sagen. Applaus Herald: Signal-Angel, die nächste Frage aus dem Internet bitte. Frage: Woran scheitert es, dass Datensparsamkeit so wenig Gehör in der Politik stößt? Und wie können wir Hacker dabei helfen, abseits davon für Sie zu arbeiten? —vereinzelt Lachen Kelber: Ich glaube, erst einmal hat es eine erfolgreiche Lobbyarbeit darin gegeben, Menschen an führenden Stellen in der Politik zu verstehen zu geben, Datensparsamkeit sei Datenarmut. Man müsse wichtige Daten wegschmeißen. Damit würden wir mit USA und China nie mehr gleichziehen können. Dieser einfache Dreisatz ist denen in die Köpfe implementiert worden. Deswegen – habe ich tatsächlich auf dem Digitalgipfel erlebt – wie einen Monat bevor europäisches Recht ist, mit den Stimmen Deutschlands beschlossen wurde, endgültig wirksam wurde: Datenschutzgrundverordnung, die Bundeskanzlerin sich hinstellt und sagt: „Wir müssen das Prinzip der Datensparsamkeit aufgeben“. Das aber später bindendes europäisches Recht wurde, vorher bindendes deutsches Recht war. Das ist schon etwas, was man selten erlebt an dem Punkt. Da werden wir ein ganzes Stück für werben müssen, dass das einfach nicht wahr ist. Wenn wir aber auch einfache Narrative gemeinsam entwickeln müssen, die ähnlich aufzuführen. Ich finde ja so ein Narrativ wie „dich gehen Daten nichts an, die nichts mit einer Dienstleistung zu tun haben“, ist so eine einfach, weil das ist eine Werteentscheidung, die ich treffe. Und solche Werteentscheidungen haben wir oft getroffen. Klar wird es für Deutschland wirtschaftlich attraktiver, Kohlekraftwerke mit Kindern zu betreiben, weil dann könnte man die Stollen kleiner machen. Dann können wir gleich wieder mit Preisen aus Kolumbien mithalten. Haben wir uns aber aus Wertegründen entschieden, es nicht zu tun. Dasselbe sollten wir auch mit Daten machen, die unsere Grundrechte beeinflussen. Applaus Herald: Mikrofon Nummer 4, deine Frage bitte. Frage: Herr Kelber, Sie haben ja selber gesagt, dass Gesetze oftmals noch nicht reichen. Mir persönlich geht es auch so, dass ich das Gefühl habe, zum Beispiel die Datenschutzgrundverordnung ist manchmal ein bisschen zahnlos, und meine Frage an Sie ist: Welche Handlungsalternativen sehen Sie da? Wie sieht es aus z. B. mit Bereitstellung von alternativer Infrastruktur? Gerade zu Cloud, großen Cloud-Anbietern zum Beispiel. Wie sieht es aus mit Förderungen für Open-Source- Software für Projekte, die z. B. auch irgendwie grün unterwegs sind, Daten schützen, wie auch immer. Was gibt’s da für Möglichkeiten in der Politik? Kelber: Ich glaube, man sollte nicht das eine lassen und das andere unterschätzen und das dritte dann nicht machen. Ich bin für die Förderung vor allem dort, wo ich glaube, mit der Förderung – das ist ja dann mein Job – Verbesserungen für die Datenschutz- Situation herbeizuführen. Das war das Beispiel mit den Messengersystemen, weil die natürlich welche sind, wo ganz besonders viele relevante sensible Daten abgegriffen werden. Da bin ich in eine Monopolsituation reingekommen, die ich nur noch mit Krafft aufbrechen kann. Das eine wäre, diese Frage der Interoperabilität zu erzwingen, wenn allein ein Drittel der Sprachnachrichten heutzutage über Messengersysteme, nicht mehr über Handy oder Festnetz geht, da müssen sie auch die gleichen Pflichten erfüllen wie die anderen. Das ist z. B. Interoperabilität. Ich glaube aber, und deswegen werbe ich dafür. Und der Chef des Bundesamtes für die Sicherheit in der Informationstechnik hat ja ähnliches schon mal verlautbaren lassen. Ich glaube tatsächlich, wir sollten ein Messenger System als deutsche Verwaltung – am besten die gesamte, aber ansonsten muss der Bund eben anfangen – anbieten für Bürgerinnen und Bürger. Aber eins, das datenschutz- freundlich ist. Und da, glaube ich, gehe das tatsächlich nur auf der Open Source Software Basis. Und wenn unser großer Nachbarstaat es auf einer solchen Basis macht – Matrix – sich dann anzuschauen, sind das die gleichen Bedingungen, die die Franzosen haben und dann noch mehr Schlagkraft reinzubringen. Ich verstehe das ja manchmal im privaten Umfeld nicht. Dass Menschen, die 15 verschiedene Leih-Fahrräder und -Elektroscooter- Anwendungen auf ihrem Gerät haben, nicht in der Lage sein wollen, einen zweiten Messenger zu installieren, mit dem sie mir ohne Daten abgreifen, mit mir kommunizieren können, da ist irgendwie eine Denkblockade. — Applaus Herald: Mikrofon Nummer 2 bitte. Frage: Wie sensibilisiert man den durchschnittlichen nicht-IT-affinen Bürger und Politiker für sein eigenes Interesse an Datenschutz? Kelber: Ansprechen! Die wollen auch angesprochen werden. Den Bürgerinnen und Bürgern muss man es wahrscheinlich … Politikerinnen und Politiker wollen angesprochen werden, auch die nicht- Netzpolitiker, nicht die Digital- Politikerinnen und -Politiker. Bei Bürgerinnen und Bürgern wird man vielleicht auch neben dem jährlichen Skandal, nachdem es mal ein kurzes Interesse gibt, das nicht immer sich im Handeln ausprägt, wird man das auf eine Art und Weise machen müssen, dass sie Bilder erkennen, dass sie in einfachen Systemen machen. Was meistens funktioniert, wenn ich in Gruppen rede, die keine Vorbildung haben, ist ihnen zu verdeutlichen, was das, was im digitalen Bereich gerade passiert, in ihrer gewohnten analogen Welt bedeuten würde. Wenn ich denen dann erzähle mit Tracking: Stell dir mal vor, du gehst in die Bonner Fußgängerzone und in dem Augenblick, wenn du sie betrittst, beginnt einer, hinter dir herzulaufen, der schreibt auf, an welchen Geschäften du stehenbleibst, mit wem du dich unterhälst. Der bietet dir irgendwann Kaffee an. Kostenlos. Wenn ihr nach dem Becher greift, sagt er aber „Ich will erstmal gucken, wer waren denn die letzten fünf Leute, die sie getroffen haben.“ Wenn es verboten würde, Briefumschläge zu verwenden, alles nur noch auf Postkarten geschrieben werden dürfte. Wenn Sie es so übertragen in die Welt, die die kennen. Dann wird der ein oder andere auch wach. — Applaus — Als ich noch Parteipolitiker war, habe ich mir immer mal vorgenommen, einen Kaffeestand beim Tag der offenen Tür vorm Innenministerium zu machen mit umsonst Kaffee. Aber den kriegen die Leute dann tatsächlich nur, wenn ich einmal kurz ihr Handy durchgucken darf. — Lachen, Applaus Aber das kann ich jetzt nicht mehr machen, das traue ich mich nicht mehr. Herald: Mikrofon Nummer 8 bitte! Frage: Vielen Dank noch einmal für den Talk. Man sieht hier auf dem Kongress selbst da, wo man denkt, man hat viel Gutes an Sicherheit gemacht, gibt es immer noch Schlupflöcher. In den meisten Fällen hat man nicht so viel Gutes gemacht. Daher von mir die kurze Frage: Wie ist bei Ihnen das Verhältnis Datenminimierung zu dem Thema Datensicherheit, sprich in Form von Sicherheitsmaßnahmen zu sehen? Wo ist die Minimierung wichtiger? Und wo ist die Sicherheit akzeptabel? Kelber: Ich glaube übrigens, dass man erstmal durch Datensicherheit eine ganze Reihe von Datenschutz-Sicherheitsproblemen ausschließen kann, aber was sie ja wahrscheinlich ansprechen ist, dass ich an manchen Stellen eventuell Daten sammeln muss, um z. B. Angriffsvektoren oder ähnliches zu erkennen. War es das, was Sie meinten? Frage: Es ging darum, dass wir überall sehen: Belgacom. Da greift sich einfach ein fremder Geheimdienst die Daten und ähnliches … Kelber: Daten. Dann ist Datenminimierung ein Teil eines Datensicherheitskonzeptes. Übrigens auch das Verteilthalten von Daten und ähnliches ist eine Frage, die ich erwartet hatte. Wie ist das im digitalen Gesundheitsschutz? Es gibt ja Daten, wo es durchaus unethisch sein könnte, sie nicht einzusetzen. Aber was sind denn die Sicherheitsmaßnahmen? Wie kann ich wenigstens das Sicherheitsniveau erreichen, das ich vorher in der analogen Welt hatte, wo es ja auch eine Menge Verstöße gab? Wo krieg ich eine Verbesserung hin? Wo sind die Daten so sensibel, dass ich mit zusätzlichen Methoden dafür sorgen muss. Von daher auch vielen Dank an den Kongress für die Aufdeckung der Sicherheitsprobleme bei den Karten. Thema Sie können sich sicher sein, — Applaus — Sie können sich sicher sein, dass das auch Thema meiner Referatsleitungsrunde am 6. Januar sein wird. — Lachen, Applaus Herald: Mikrofon Nummer 1, Bitte. Frage: Herr Kelber, schön, dass Sie hier sind. Sie haben sehr ambitionierte Ziele zu schadhaften Algorithmen geäußert und auch zu, dass wir Vertrauen schaffen müssen. Dann haben Sie eben gerade noch was erzählt von den Zertifizierungenmöglichkeiten? Da weise ich mal darauf hin, dass die Diesel-Motoren unserer Auto-Hersteller auch alle zertifiziert sind. Um mal an Auguste Kerckhoff zu erinnern: Die Sicherheit eines Algorithmus kann nicht in der Geheimhaltung des Algorithmus liegen, sondern sollte möglichst vielen Experten offenstehen. Jetzt die Frage: Sehen Sie eine andere Möglichkeit als Open Source um Ihre Ziele, Algorithmen – schadhafte Algorithmen – zu verhindern oder Vertrauen zu schaffen? Ist das mit proprietärer Software überhaupt machbar? Kelber: Thema für einen eigenen Vortrag. Ich glaube, es wird Bereiche geben, wo ich Daten, nur indem ich sie überhaupt … indem ich den Algorithmus öffentlich mache, überhaupt nur Teil einer Kritikalitätsbetrachtung sein kann. Schauen Sie sich das auch mal in Zusammenfassung der Empfehlung der Daten Ethikkommission mit der Pyramide zu algorithmischen System an. Da ist die zweitoberste Stufe eine mit der völligen Offenlage. Für mich als Aufsichtsbehörde gilt aber trotzdem, dass wir an bestimmten Stellen hineingucken wollen in Systemen. Das ist mir natürlich auch klar, dass sich die sehr schnell ändern. also dass ich nicht einmal einen Punkt habe, wo ich da bin. Dem „Nein“ dort von Unternehmen oder Behörden. Das akzeptieren wir nicht. Also wir als Aufsichtsbehörde dürfen alles sehen. Ansonsten bin ich auch bereit, Zwangsmaßnahmen einzuleiten. Der Punkt wird allerdings der sein, dass natürlich, wenn nicht zertifiziert werden kann, dass etwas, was eingesetzt ist, tatsächlich die Punkte erreicht, die man zertifiziert, dann darf auch kein Zertifikat erteilt werden. Das war eine der Erfahrungen aus dem Dieselgate. Deswegen habe ich in meiner alten Verwendung ja noch Koalitionsverhandlungen geführt, 2018, nach den Bundes-Wink-Wochen gab es echte Koalitionsverhandlungen. Und da steht ein Satz drinnen: Es muss überhaupt mal etwas geschaffen werden, wo öffentliche Behörden die Kompetenz entwickeln können, in algorithmische Systeme rein zu schauen. Und das kann auch nicht sein, dass es jeder einstellt. Weil ich kann nicht 20 Expertinnen / Experten einstellen, das BSI 40, das Kraftfahrzeugbundesamt 10, das BaFin 10. Das wird nicht klappen. So viele gibt es gar nicht auf dem Markt die das können. Wir werden also eine Stelle beauftragen. Kann ja auch an einem Netzwerk mit Wissenschaft und Zivilgesellschaft stehen, um die Entwicklung von so etwas anzuschauen. Und dann sind wir wieder etwas näher an dem, was Sie gesagt haben. Herald: Lieber Single-Angel, die nächste Frage aus Internet. Frage: Sollte man darauf achten, IFG- Anfragen verantwortungsvoll zu stellen und auf ein Minimum zu reduzieren, um die Akzeptanz bei Ministerien zu erhöhen? Kelber: Wie bei jedem Instrument sollte man etwas nur dann machen, wenn man es selber für richtig hält. Aber das ist der erste Maßstab, natürlich. Aber das wird ja allein nicht reichen. Ich habe natürlich auch schon Informationsfreiheitsanfragen gesehen, die man im Augenblick selber gesagt hat „Die ist nicht sinnvoll.“ Nachher kam etwas raus über den kleinen Umweg, wo man gesagt hat „Es war gut, dass da einer nachgefasst hat.“ Umgekehrt habe ich bei Sicherheitsbehörden auch schon IFG-Anträge gesehen, wo man nichts anderes versucht hat, als den Ermittlungsstand der Sicherheits- behörden gegen hochkriminelle Banden herauszubekommen. Die Bandbreite ist so groß, die Entscheidung treffen Sie selbst. Das Gesetz sagt, was Sie dürfen, was Sie nicht dürfen. Was beantwortet werden muss, was nicht beantwortet werden muss. Und bei allem, was das IFG angeht, sind wir noch in der Ombudsmann-Funktion. Das heißt, wenn eine Auskunft verweigert wird, können Sie sich an uns wenden, und wir beurteilen aus unserer Sicht noch einmal die Situation. Herald: Mikrofon Nr. 4, deine Frage? Frage: Hallo, zunächst vielen Dank, dass Sie hier sind. Vielen Dank für den Vortrag und auch herzlichen Dank, dass Sie die Problematik mit WiFi für die EU auf den europäischen Datenschutztisch gebracht haben. Zu meiner Frage: Sie hatten gerade das Beispiel angesprochen mit der Notwendigkeit von Datenschutz im öffentlichen Raum, am Beispiel des Laufens durch die Fußgängerzone in beispielsweise Bonn. Sehen Sie dass momentan Arbeit im Wettbewerbsrecht besteht, um entsprechend, ich sage mal datensammelwütige Geschäftsmodelle für Kommunen auch handhabbar zu machen. Wir haben in Aachen gerade das Problem, dass im Rahmen von der Stadtmobiliarausschreibung man ich sage mal die Wertschöpfung von Daten aus dem öffentlichen Raum, in der Ausschreibung nicht berücksichtigt hat, sodass die Stadt jetzt in der Problematik ist, dass für eine Stadtmobiliarausschreibung ein Anbieter, der Daten abschnorchelt ein nach Wettbewerbsrecht zu wählendes, weil günstigeres Angebot vorgelegt hat, als ein Anbieter, der nicht Daten abschnorchelt. Konkret geht es um ICIM-Trekker an Bushaltestellen. Kelber: Ist mir im Augenblick nichts bekannt. Müsste ich tatsächlich nachhaken, ob auf meiner Fachebene schon Debatte gegeben hat? Vielen Dank für die Anregung. Ist ja einer der Gründe, warum ich hierher gekommen bin, Anregungen mitzunehmen. Nein, kann ich Ihnen leider gar nichts zu sagen. Ich weiß, dass im Augenblick die nächste GWB Novelle dran ist, aber was dort in den Entwürfen steht und ob wir schon beteiligt wurden im Vorfeld – manche Ministerien beteiligen uns ja im Vorfeld – und dann geben wir unsere Beratungen nicht öffentlich. Weiß ich nicht, aber ist zumindest nicht von meinem Fachebene für so relevant gehalten worden, dass ich darüber informiert wurde. Also wenn ist es nur auf kleiner Ebene. Herald: Vielen Dank, Herr Kelber, für das geduldige Beantworten aller Fragen. Vielen Dank für Ihren Vortrag. Es können leider nicht mehr alle Fragen drankommen. Applaus 36c3 Abspannmusik Untertitel erstellt von c3subtitles.de im Jahr 2020. Mach mit und hilf uns!