36C3 - Weichenstellung

36c3 Vorspannmusik

Herald Engel: Unser nächster Vortrag hat
den Titel „Weichenstellung“. In welcher

digitalen Welt werden wir leben? Der Herr
Kelber wird darin aufzeigen, welche Folgen

die aktuellen politischen Entscheidungen
oder deren Ausbleiben auf unsere Zukunft

als Gesellschaft haben. Insbesondere bei
den Themen digitale überwachung durch

private und öffentliche Stellen. Ulrich
Kelber ist seit Januar diesen Jahres der

Bundesdatenschutzbeauftragte, ist
studierter Diplominformatiker, hat 20

Jahre im Bundestag als Bundestagsabgeordneter
gearbeitet und war vorher Staatssekretär

im Justizministerium. Bitte begrüßt ihn
mit einem kräftigen Applaus.

Applaus

Ulrich Kelber: Ja, schönen guten Tag, auch
von meiner Seite, hab mich sehr über die

Einladung gefreut. Ich bin natürlich etwas
beschämt, dass ich das erste Mal dabei bin,

nämlich in den 20 Jahren, wo ich
tatsächlich Abgeordneter war, hat meine

Familie gestreikt: neben den Wochenenden,
die immer dazugehören zur Arbeit, mir dann

auch noch die Tage über Weihnachten für
digitale Themen frei zu geben. Aber

nachdem ich ja im Januar in den Job
wechseln konnte, wo ich noch schön an

einem Thema tief arbeiten kann, aber die
Wochenenden jetzt freier zur Verfügung

habe, durfte ich mir zumindest mal einen
Tag dafür nehmen. Und ich hoffe, im

nächsten Jahr vielleicht auch mal mit
Übernachtung ein bisschen mehr

reinschnuppern auch in das, was andere zu
sagen und zu zeigen haben. — Applaus

Ich habe in der Tat jetzt knapp ein Jahr in
der neuen Funktion zubringen können,

versuchen, das Thema in der Breite
aufzunehmen, Schwerpunkte zu setzen,

insbesondere bei den Aufgaben, die wir in
den letzten Jahren auch hinzubekommen

haben: die Durchsetzung der europäischen
Datenschutzgrundverordnung, die

Durchsetzung der ja erst noch in
nationales Recht umzusetzenden Joint

Implementation Richtlinie, die Regulierung
von Scoring und Profiling, bereich-

spezifische Gesetzgebung, die ja fast im
Wochenrhythmus erfolgt, insbesondere im

Sicherheitsbereich und natürlich jetzt
auch drei Jahre oder dreieinhalb Jahre

nach Inkrafttreten, anderthalb Jahre nach
der vollen Wirksamkeit. Auch die

Überlegungen zur Weiterentwicklung
europäischen Datenschutzrechts. Und alles

vor dem Hintergrund einer Entwicklung, wo
im Augenblick Weichenstellungen in der

Frage von Regulierung, Nichtregulierung,
technische Entwicklung, Einführung von IT-

Systemen gesetzt werden, die massive
Auswirkungen auch auf unsere

Gesellschaftsordnung haben. Mich
interessieren die Debatten um digitale

Überwachung, sei es durch private oder
staatliche Stellen und insbesondere

natürlich auch der regelrechte hysterische
Wettlauf um immer neue

Eingriffesbefugnisse von
Sicherheitsbehörden. — Applaus —

Ich bin überzeugt, dass wir
schon die Weichenstellungen so vornehmen

können, dass auch die digitale
Gesellschaft eine freiheitliche, liberale

und diverse Gesellschaft bleibt. Aber
ausgemacht ist das noch keineswegs. Wir

sehen immer wieder, dass die technischen
und ökonomischen Aspekte dieser Debatte in

den Vordergrund gestellt werden und dass
es schwierig ist, durchzudringen mit

gesellschaftspolitischen und
datenschutzrechtlichen Fragestellungen.

Und wenn es eine Debatte gibt über diese
Weichenstellung in einer digitalpolitischen

europäischen Debatte, dann werden eben vor
allem diese technischen und okönomischen

Aspekte herangezogen. Es wird verwiesen
auf den Stand von ja durchaus

durchaus weiterentwickelten Digital-
Ökonomien in den USA und China, deren

Vorsprung im Bereich von dem, was immer
unscharf als „künstliche Intelligenz“

bezeichnet wird. Dass dieser Vorsprung
uneinholbar geworden sei und wohlstands-

gefährdend ist. Das wird durchaus als
Druckmittel verwendet, um dann bei

einzelnen Debatten festzulegen, in welcher
Form darf es zu Datenverwertung mittels

künstlicher Intelligenz, algorithmischer
Systeme oder auch der Nutzung von

Datenbanken an der Stelle kommen? Und wenn
man etwas genauer hinschaut, dann ist es

in der Tat natürlich so, dass in den USA
und China in manchen Sektoren bereits eine

andere Phase der technologischen
Entwicklung eingetreten ist. Dort wird

über deutlich höhere private und
staatliche Mittel in dem Bereich

investiert. Aber man merkt auch, dass
beide Wirtschaftssysteme einen bestimmten

Weg eingeschlagen haben für die Nutzung
von IT-System. In China entsteht ein

Überwachungssystem, das den Polizeistaat
erst zur vollen Blüte bringen kann. Wer

sich jetzt in den letzten Monaten ist das
mal zum Thema geworden mit dem, was im

Westen des Landes bei den Uiguren
passiert. Aber ein System, wo das

Verhalten aller Bürger digital überprüft
wird, was manche ja – außerhalb dieser

Halle natürlich – nicht verstehen, ist, wie
analoges und digitales Leben heute so

verschränkt sind, dass sie einander
beeinflussen. Dass deswegen eben auch auf

das Verhalten außerhalb der unmittelbaren
digitalen Welt ein Verhaltensdruck

ausgeübt wird. Wer sich im Sinne des
Systems verhält, dem winken Prämien,

Belohnungen, Vorteile. Wer das nicht tut,
riskiert für sich und Angehörige

Lebensmöglichkeiten vom Bildungssystem bis
hin zur Mobilität. Und es ist spannend,

wer diese Standards setzt. Es ist
spannend, wie diese Standards sich ändern

und vor allem, dass ein Gefühl entsteht,
dass ich gar nicht mehr abschätzen kann:

Wann werde ich eigentlich beobachtet, mein
Verhalten interpretiert, gespeichert,

bewertet von anderen. Und dies ist ein
Gefühl, dass es keine Bereiche mehr der

Möglichkeit gibt, sich ins Private
zurückzuziehen, etwas zu tun, was

vielleicht noch nicht von allen anderen so
vorgelebt wurde, verändert auch das eigene

Verhalten. Das ist eine Entwicklung, die
sicherlich in Europa nur eine absolute

Minderheit will, auch unter all denen,
die politische Positionen haben oder in

der Wirtschaft an entscheidenden
Stellen kommt. Es gibt allerdings

interessanterweise Studien, die unter
jüngeren Menschen schon eine größere

Zustimmung zu einem solchen System zum
Ausdruck bringt, wo bestimmte

Verhaltensweisen, die als durchaus … man
fängt ja an, mit welchen, die tatsächlich

vielleicht gesellschaftspolitisch von der
großen Mehrheit nicht gewünscht sind,

sanktionieren kann. Aber wie gesagt, die
große Mehrheit will das nicht, und zwar

weder vom Staat noch von privaten Konzernen.
Also weder das chinesische Modell, noch

das US-amerikanische Modell, die sich
ja durchaus auch beide teilweise mit

Aspekten des anderen – die USA im
Sicherheitsbereich, die chinesische Seite

mit dem Zusammenwirken zwischen Staat und
privaten Konzernen – beginnt. Und auch wenn

das keiner in Europa will, glaube ich,
dass dieses Überwachungsgift durchaus in

unser System träufelt von Tag zu Tag. Und
zwar, dass man Überwachung durchführen

will, weil man sie durchführen kann. Dass
man Datensammlungen betreibt, wenn man

diese Daten sammeln kann, weil Sensoren,
Speicher und Verarbeitungsmöglichkeiten

immer kleiner, schneller, besser und
billiger werden. Und dass Dinge, die man

vorher nicht gemacht hat, weil einfach der
Aufwand zu groß war, jetzt praktisch im

Vorbeigehen mitlaufen lässt. Und wo kann
man dieses Gift schon spüren? Das spürt

man, wenn die Geschäftsmodelle von
Verlagen in den politischen Debatten

Vorrang bekommen sollen vor der
Unverletzlichkeit der Privatsphäre von

Bürgerin und Bürger, wenn die Komfort
gegen Daten getauscht wird, auch im

Individualverhalten. Und wenn Sicherheit
vor Freiheit gesetzt wird bei der Debatte:

Was kann ich mit einem zusätzlichen
Durchgriffsrecht, Eingriffsrecht von

Sicherheitsbehörden erreichen? Dann
erleben wir, dass die Bewertung von

Verhalten und das Bewerten von Gesinnung,
wenn sie in die Auswertung mancher Daten

schauen und auch in die ein oder anderen
Gesetzentwurf, wo jetzt auf einmal wieder

aufgebracht wird, wer etwas unterstützt
oder befürwortet, dass das ebenfalls

Einfluss nimmt, damit Normmodelle setzt,
die dann in der Verarbeitung von Daten

überprüft werden durch Staat und durch
private Stellen auch in der Europäischen

Union. Und wie wir das ausgestalten, wie
wir zum Beispiel über eine E-Privacy

Verordnung in der Frage von Tracking
sprechen, das ist eine dieser

Weichenstellungen, die ich meinte mit dem
Titel des Vortrags. Im Zentrum dieser

Debatten steht tatsächlich das, was immer
mit dem großen Schlagwort „Künstliche

Intelligenz“ genommen wird. Sind genügend
im Saal, mit denen man sich 2 Stunden darüber

unterhalten könnte, was dieses Schlagwort
wirklich meint und wo es nicht meint. Aber

das lasse ich mal außen vor. Ich spreche
über KI und algorithmische Systeme, mal

als Bandbreite. Wir Datenschutzbeauftragten
haben für uns erkannt, dass es unsere

Arbeit verändert. Dass es aber eben
auch eine große Auswirkung auf

die Frage von Regulierung haben. Haben
deswegen in diesem Jahr, im Frühjahr und

dann ausgearbeitet noch bis in den Herbst
bei der Tagung in Trier im Frühjahr die

Hambacher Erklärung herausgegeben, auf
Schloss Hambach. Wir haben dieses Symbol

tatsächlich gewählt. Das Hambacher
Freiheitsfest von 1832, wo die

Grundrechte, die Bürgerrechte, auch in den
Vordergrund gestellt wurden. Übrigens ein

internationales Fest, weil es immer manche
Deutschtümeler versuchen, für sich zu

gewinnen. Es waren Franzosen und Polen und
andere Delegierte dort. Und haben

versucht, Grundprinzipien bei diesem
Einsatz zu definieren. Menschen nicht zum

bloßen Objekt einer solchen
Datenverarbeitung zu machen, das

Zweckbindungsgebot nicht fallen zu
lassen. Nicht so einfach auch in der

Entwicklung solcher Systeme. Die
Transparenz, die Nachvollziehbarkeit und

die Erklärbarkeit von KI-Systemen, die
Verhinderung von Diskriminierung und den

Grundsatz der Datenminimierung. Die
letzten drei sind übrigens sehr

interessant in der gesamten Debatte mit
Techis, weil mir das selbst bei Leuten, die

absolut liberal in ihren Grundsätzen sind,
immer wieder auffällt, dass sie ablehnen

diese Verantwortung in der Entwicklung von
Systemen mit zu übernehmen. Uns wird dann

entgegen geschleudert, das wäre ein
Generalverdacht. Wir würden zusätzlichen

Aufwand berücksichtigen. Aber ich glaube,
wer solche Macht ausübt mit solchen

Systemen in der Öffentlichkeit, der muss
zumindest selber überlegen: Kann der

Bereich, in dem ich gerade arbeite,
Auswirkungen auf Menschen und Ihre Rechte

haben? Und was muss ich dann
berücksichtigen in der Entwicklung dieser

Technologie? Wir haben natürlich auch über
Verantwortlichkeit gesprochen. Jedes

System muss auch jemand haben, den ich.
Ansprechen kann auf Fehlverhalten, auf

Diskriminierungspotenziale und ähnliches.
Das kann nicht verwischen in einem

komplexen Netzwerk unterschiedlicher
Systeme. Und wenn man … — Applaus Und wenn

man dann wirtschaftspolitisch an das Ganze
herangeht, ist es regelrecht absurd, dass

hier in Deutschland und in Europa, wo wir
eigentlich Erfahrung mit Datenschutz und

ich hoffe auch mit IT-Sicherheit haben, wo
wir Gesetze haben, die uns dazu

verpflichten, in diesem Bereich höhere
Qualität anzubieten als in anderen

Weltregionen. Dass in dieser Weltregion
die Wirtschaftsverbände und die

Unternehmen unterwegs sind, über diese
Regulierungen jammern und in anderen

Weltregionen mehr oder minder glaubhaft
wie z. B. in den USA die ersten Unternehmen

unterwegs sind und sagen: Wir wollen darüber
werben für unsere Produkte, für unsere

Dienstleistungen, dass wir über die
gesetzlichen Vorgaben hinausgehen. Dass

wir das von Anfang an mit rein nehmen.
Hätten wir das auch bei Autos, Maschinen

und anderen Produkten gemacht, wäre
Deutschland ein armseliger Standort. Ich

verstehe nicht, warum wir in der Digital-
Ökonomie auf den niedrigsten Standard einen

Wettlauf nach unten machen wollen, nach
Meinung der Wirtschaftsverbände, anstatt

mit Qualität und Unique Selling Points
auch weltweit zu punkten. Das wäre im

Datenschutz, in der IT-Security,
wirklich möglich.

Applaus
Wir begegnen natürlich immer einem

logischen Wunsch. Das ist wirklich bei
Wirtschaft, Techies und großen Teilen der

Politik gleich: Wir brauchen für die
Optimierung von Prozesssteuerung, so die

Argumentation, die deutliche Erhöhung der
Menge an nutzbaren, qualitativ

hochwertigen Daten. Ich will mich dem
übrigens keineswegs verschließen, weil ich

durchaus der Meinung bin, selber eine
ganze Reihe von Prozessen zu sehen, wo ich

mit dem richtigen Zugriff auf
verantwortlich zur Verfügung stellbare

Daten, deutliche Verbesserungs-,
Optimierungs- und Fortschritts-Potenziale

sehe. Aber es geht doch darum,
den Prozess so zu organisieren, dass

Persönlichkeitsrechte, das Recht auf
informationelle Selbstbestimmung und

andere Grundrechte nicht eingeschränkt
werden, nicht verletzt werden, sondern

dass wir die neuen technischen
Möglichkeiten sogar nutzen, um

informationelle Selbstbestimmung an
Stellen zu schaffen, wo ich sie in der

Vergangenheit gar nicht hatte, weil sie
mir nicht zur Verfügung gestanden hat. Und

diese Debatte zu führen und anders auf den
Markt zu treten, das ist der Vorschlag,

den die deutschen Datenschutzbehörden mit
der Hambacher Erklärung und anderen

Beschlüssen gefasst haben. Und auch der
Europäische Datenschutz-Ausschuss ist uns

dort vor kurzem gefolgt. Ich glaube, dass
die Regulierung von künstlicher

Intelligenz, von algorithmischen Systemen,
da eintreten muss, wo Gefahr für diese

Rechtsgüter besteht – des Einzelnen oder
der Allgemeinheit. Sie haben vielleicht

zum Teil mitverfolgt, dass es manche gibt:
Der Datenschutz übernähme sich, sagen die,

wenn er nicht nur den Schutz des Einzelnen,
sondern einen gesellschaftspolitischen

Zweck verfolgt. Aber natürlich habe ich
viele Stellen, wo die Frage des Schutz des

Einzelnen ohne eine Beantwortung der
Rechte in der Gemeinschaft gar nicht zu

leisten ist. Vom simpelsten Beispiel an:
wenn ich zulasse, dass bestimmte Daten

erhoben werden können, freiwillig, dann
ist derjenige, der nicht bereit ist,

freiwillig sie zur Verfügung zu stellen,
natürlich am Ende der*die Gekniffene, wenn

die anderen diese Daten zur Verfügung gestellt
haben. Deswegen ist es richtig, an einem

solchen Beispiel, wo es um besonders
sensible Daten geht, natürlich ein

Erhebungs- und Verwertungsverbot allgemein
auszusprechen und es nicht mehr auf die

Freiwilligkeit zurückfallen zu lassen.
— Applaus — Und diese Idee, auch

technologische Entwicklungen und deren
Einsatz regulieren zu wollen, ist aber

auch gar nichts Neues. Das haben wir doch
immer so gemacht. In den letzten zwei,

dreihundert Jahren, seit wir eine
einigermaßen entwickelte Zivilgesellschaft

und politische Debatte haben. Wir haben es
bei Dampfkesseln gemacht, wir haben es bei

medizinischen Geräten, Autos und Handys
gemacht. Was sollte uns davon abhalten,

diese Debatte zielgerichtet und
praktikabel auch im Bereich von Software

und von Hybrid-Systemen einzuführen? Ein
Beispiel dafür; das war ja etwas, was die

Datenethikkommissionen genannt hatte, als
sie gesagt hat, es muss auch die

Möglichkeit des Verbots – um jetzt mal die
weitestgehende Möglichkeit zu benennen –

von Algorithmen mit unvertretbarem
Schädigungspotenzial geben. Schon diese –

eigentlich selbstverständliche – Forderung
„unvertretbares Schädigungspotenzial“ hat

zu Widerspruch bei einigen
Wirtschaftsverbänden geführt. Also was das

für ein Verständnis der Rolle von Staat
als Zusammenschluss der Gesellschaft gibt:

„Es gibt bestimmte Dinge, die ich nicht
zulasse. Bestimmte medizinische Geräte

sind nicht zugelassen. Der Verkauf von
Organen ist nicht zugelassen. Kinderarbeit

ist nicht zugelassen.“ Und warum soll ich
nicht die Erlaubnis haben, bestimmte

Software-Einsätze zu regulieren bis hin zu
einem Verbot? Wir unterhalten uns ja über

eine kleine Spitze in einem unglaublich
innovativen Markt, wo 99,99% aller

algorithmischen Systeme, die in Umlauf
kommen, nie mit einer Aufsicht oder einer

Kontrolle zu tun haben werden. Aber um
diese Spitze müssen wir uns kümmern. Ich

will jetzt nicht das ohnehin gestresste
Beispiel von automatischen Waffensystemen

oder Hochfrequenzhandel heranbringen. Aber
schon im Bereich der Bildung, von

persönlichen Profilen und der Frage, wem
sie zur Verfügung gestellt werden dürfen

oder nicht, kann es solche unvertretbaren
Schädigungspotenziale geben und damit

die Möglichkeit auch des Verbots in der
Regulierung. — Applaus — Und in der Tat

kämpfen wir darum, dass das Prinzip der
Datenminimierung – so heißt es jetzt in der

deutschen Version des europäischen
Datenschutzgrundverordnung. Früher hieß es

mal Datensparsamkeit –, dass dieses Prinzip
nicht über den Haufen geworfen wird. Es

wird angegriffen von allen Ecken: aus
dem technischen Umfeld, aus den

Wirtschaftsverbänden, aus der Politik bis
hoch zu den Reden von Wirtschaftsministern

und Bundeskanzlerin. Ich glaube teilweise
auch aus dem Unverständnis heraus, was

der Begriff eigentlich bedeutet. Er heißt
ja nicht „Schmeiße alle Daten weg, die du

hast“, also Datenarmut. Sondern er sagt
„Ja, du hast nicht das Recht, Daten zu

erheben, die du nicht benötigst für die
Erbringung der Dienstleistung oder des

Produkts. Weil diese Daten dich nichts
angehen von einer Bürgerin oder einem

Bürger. Und an bestimmter Stelle darfst du
Daten auch nur weiterverwenden – und bitte

jetzt kein Aufheulen, weil ich jetzt auch
hier einen holzschnittartigen Pulk mache –

wenn du Anonymisierung oder Pseudonymisierung
verwendet hast. Ich weiß auch, dass es

keine absolute Anonymisierung gibt. Den
Einschub mache ich mal kurz. Aber es gibt

natürlich situationsgerechte
Anonymisierung. Wenn ich für einen

Bruchteil der Sekunde für eine Steuerung
Daten brauche, dann ist das natürlich eine

andere Form des Aufwands, um in dem
Augenblick an Daten zu kommen, wenn sie

danach gelöscht werden, als wenn ich z. B.
biologische Daten für 30 Jahre ablege und

überhaupt nicht weiß, mit welchen
Technologien oder anderen Datenbanken, die

in Zukunft begegnet werden können, zu
einer Repersonalisierung. Wir glauben aber

auch, dass technologische Entwicklungen
wie dezentrales Lernen oder datenschutz-

konforme Data Spaces die Möglichkeit
geben, mit vielen Daten im Bereich der

künstlichen Intelligenz die
Prozesssteuerung zu optimieren. Aber wir

wollen eben auch eine solche
Herangehensweise haben und nicht die Idee,

große Data Lakes zu bilden, mit denen ich
dann später mal reinschaue: Was ist

möglich? Und dann, allerhöchstens wenn es
schon einen Missbrauch von Daten gegeben

hat, zu gucken: Entdecke ich diesen
Missbrauch, kann ich ihn ahnden? Und finde

ich dann als Aufsichtsbehörde auch noch
ein Gericht, das am Ende, wenn ich gesagt

habe „Das will ich bestrafen“, mir dann auch
noch Recht gibt. Denn ich muss ja jedes

Mal, wenn ich eine Entscheidung treffe,
eine Behörde oder ein Unternehmen mit

einer Sanktion zu belegen – beim
Unternehmen das Bußgeld durchaus, bei

einer Behörde vielleicht die Untersagung –
damit rechnen, dass ich vor Gericht so

etwas auch verlieren kann. Dementsprechend
kann es länger dauern. Und es liegt ja

nicht nur in meiner Hand, wie am Ende die
Praxis aussehen wird. Deswegen brauchen

wir eine ganz klare Regelung zu diesem
Bereich. Das ist eben kein Bremsschuh

für Innovationen, wenn man es von Anfang
an mitdenkt. Und wenn ich bei

Wirtschaftsverbänden spreche, stelle ich
einfach immer frech die Frage: Glauben Sie

denn, dass Sie als Silicon Valley-2 oder
als China-2 wirtschaftlichen Erfolg haben

werden? Oder sind Sie dann der billige
Abklatsch? Wäre es nicht besser, unsere

eigenen Werte einer IT-, einem KI-Verständnis
mit europäischen Werten abzubilden und

dafür im Wettbewerb nach Unterstützung zu
suchen? Und zwar in Europa, aber auch bei

den Menschen in der Welt, die gerne andere
Werte in ihren Sicherheitssystemen in

ihrem privaten Datennutzung verankert
hätten, als sie das in ihren Ländern

haben. Das war die Idee hinter der
Datenschutzgrundverordnung ohne Rücksicht

auf den Standort eines Unternehmens
Europäerinnen und Europäer zu schützen und

auch die Idee, dieses Recht zu
exportieren. Und im Augenblick sehen wir

die ersten Erfolge, dass andere Länder
Datenschutzrechte auf Grundlage der

Datenschutzgrundverordnung entwickeln. Wir
sind also hier an einer Stelle in einen

Wettbewerb eingetreten, mit amerikanischem
Recht, mit den Überlegungen in China. Ich

glaube, Europa sollte selbstbewusst sein,
diesen Wettbewerb anzunehmen. — Applaus

Wir erleben, dass nach wie vor die großen
Internetkonzerne – und ich bedauere jeden

Tag, dass wir zu keinem der großen
Entscheidungen schon eine entsprechend …

oder der großen offensichtlichen Datenschutz-
Verstöße durch große Internetkonzerne

schon eine Entscheidung auf europäischer
Ebene getroffen haben. Ich dringe bei

jedem Treffen des Europäischen
Datenschutzausschuss darauf, dass von den

vor allem federführenden Behörden in
Irland und Luxemburg diese Entscheidungen

jetzt vorgelegt werden. Sie werden
übrigens nachher mit Mehrheit im

Europäischen Datenschutzausschuss
beschlossen. Also man kann sich nicht

hinter einer nationalen Behörde
verstecken, weil nach wie vor unter den

Standardeinstellungen der großen Anbieter
– sei es die aus den USA, aber auch die

zunehmend in den Markt dringenden, vor
allem auch aus China und aus Russland;

andere werden kommen –, dass schon unter den
Standardeinstellungen weiterhin ungehemmt

persönliche Daten abgegriffen werden. Man
ist formal datenschutzkonform, aber

sammelt diese Daten ein und es bräuchte in
der Tat technische Kenntnisse, die hier im

Saal vorhanden sein werden, aber nicht im
ganzen Land vorhanden sind, nie vorhanden

sein werden und nicht auch nicht vorhanden
sein müssen, weil man auch durchs Leben

gehen muss, ohne Expertin oder Experte zu
sein. Wenn man diese Kerneinstellungen

nicht kennt, verliert man bei diesen
Anwendungen, bei diesen Systemen Daten.

Und selbst die, die versuchen, diese Daten-
Sammler zu meiden, gehen dort auf den

Leim, verlieren dort ihre Daten, wenn über
Tracking Tools, über Plug-Ins und Source

Code Development Kits diese Daten auch bei
Dritten gesammelt werden. Und auch in

diesen Fragen ist bisher leider außer
einem Versuch des Bundeskartellamts, das

nicht an die gleichen Regeln gebunden ist
wie ich als Bundesdatenschutzbeauftragter,

kein Versuch unternommen worden, das zu
stoppen. Ich habe bis heute die

Entscheidung des Düsseldorfer Gerichts –
soviel darf ich ja, wo ich jetzt kein

Staatssekretär im Justizministerium bin,
ja mal sagen – nicht nachvollziehen können.

Ich glaube, da war etwas zu wenig
Berücksichtigung von

Datenschutzgrundverordnung und verändertem
Wettbewerbsrecht seit 2016 in der

Betrachtung enthalten. Also wir brauchen
die Durchsetzung des bestehenden Rechts.

Wir brauchen Zertifizierung und
Labeling, damit man bestimmte Produkte

nehmen kann, sicher weiß, das Produkt für
sich hält die Regeln ein. Jetzt kann ich

darauf meine nächste Dienstleistung
optimieren. Und natürlich brauchen wir

auch Digital Literacy in der Bevölkerung
bis zu einem bestimmten Grad. Ich muss

wenigstens ungefähr verstehen, auf was ich
mich in einer digitalen Gesellschaft

einlasse. Ich persönlich würde mir
wünschen, dass wir die Möglichkeiten des

Schutz der Privatsphäre durch Technik
stärker ausarbeiten, also PIMs und PMTs fände

ich wichtig, in einer Form einzuführen,
auf die man sich verlassen kann. Eins

gilt: wenn große Konzerne Standards, die
mal eingeführt wurden, um sich zu schützen

wie den Do-not-Track-Standard, einfach
ignorieren, dann ist das nichts anderes

als ein Betteln um staatliche Regulierung.
Wer sich nicht an Standards hält, der

möchte Regulierung vom Staat bekommen. Und
aus meiner Sicht sollten sie die mit der

E-Privacy Verordnung auch bekommen.
Applaus — Normalerweise müsste ich als

Leiter einer Datenschutzbehörde aufschreien
bei Ideen wie Interoperabilität, weil

Interoperabilität Datenaustausch auch
bedeutet. Aber ich sehe heute einen Markt,

der sich oligopolisert. Und wenn ich die
Markteintrittsbarrieren für neue

Anbieterinnen/Anbieter senken will, dann
muss ich eine datenschutzfreundliche

Interoperabilität für die Anwendungen, die
so wichtig geworden sind auf dem Markt,

dass sie andere Dienste ersetzen, in denen
die Interoperabilität seit Jahren und

Jahrzehnten gilt, auch vorschreiben. Ich
meine zum Beispiel im Bereich von Social

Media und von Messenger Systemen. Dort
könnte man mit solchen Schritten durchaus

auch europäische Alternativen, am besten
natürlich auf Open-Source Basis

vorstellen. Ich würde mich freuen, wenn es
die deutsche Verwaltung der französischen

nachtun würde, vielleicht sogar mit den
Franzosen gemeinsam ein System entwickeln,

das dann schon mal 10 Millionen
Grundnutzerinnen und Grundnutzer in

Zentraleuropa hätte. Das wäre ein Anfang,
mit dem man mit ganz anderer Schlagkraft

eine solche Open-Source Messenger
Plattform in Europa etablieren könnte.

Applaus — Wir wollen für alle Formen von
Datenverwertung die gleichen Regeln haben.

Das gilt auch für die Sicherheitsbehörden,
die ja, wenn es Bundessicherheitsbehörden

sind, auch meiner Aufsicht unterliegen.
Seit 2001, seit dem 11. September, sind in

einer Geschwindigkeit neue
Sicherheitsgesetze in Deutschland

dazugekommen, die es schwierig machen,
noch nachzuvollziehen, was tatsächlich der

Stand des Datensammelns ist. Es hat nie
eine Evaluierung der Gesetze gegeben, ob

sie erfolgreich waren oder nicht. Wir
erleben dass teilweise neue Datenschutz-

Befugnisse gar nicht in der Breite
verwendet werden. Die Daten werden

gesammelt, aber nicht ausgewertet, weil
natürlich längst das Personal fehlt. Wir

haben problematische Datensammlungen, die
selbst von den Praktikerinnen und Praktikern

in den Sicherheitsbehörden als überflüssig
eingestuft werden. Gleichzeitig gibt es

aber natürlich auch immer wieder unbefugte
Zugriffe auf solche Daten. Wenn Sie den

Tagen zum Beispiel nochmal von der
Berliner Polizei das gelesen haben, wo die

Löschmoratorien dazu führen, dass seit
2013 keine Daten mehr aus den

polizeilichen Informationssystem genommen
werden, selbst wenn sie nur Opfer oder

Zeuge einer Straftat waren. Und die Daten
aber nicht etwa eine Zugriffsbefugnis zum

Beispiel für einen Untersuchungsausschuss
bekommen – Anis Amri oder NSU –, sondern

weiterhin für alle Polizistinnen und
Polizisten zugreifbar bleiben. Zu einem

Protokollierung stattfindet, man aber
nicht einmal begründen muss, warum man

darauf zugegriffen hat, und man sich dann
wundert, dass auf die Daten bestimmter

Prominenter besonders häufig zugegriffen
wird, auf die Daten von Kolleginnen und

Kollegen oder auch auf Nachbarn von
Menschen, die Zugriffsbefugnisse haben.

Und solange das der Stand ist, wäre das
natürlich nicht wichtig, Löschmoratorien

zu haben, sondern ein Sicherheitsgesetz-
Moratorium in diesem Land einzulegen und

erst mal zu prüfen: Wo sind wir eigentlich
übers Ziel hinausgeschossen? Wo gibt es

andere Mängel zu beseitigen, als laufend
Bürgerrechte einzuschränken? Mit der

Sammlung zusätzlicher Daten über die
Bürgerinnen und Bürgern. Das täte

Bürgerrechten und Sicherheit besser als
das nächste Gesetz. — Applaus —Stattdessen

sollten wir beim Datenschutz nachschärfen
Die Datenschutzgrundverordnung ist ein

großer Wurf, sie hat auch international
Strahlkraft, aber sie hat natürlich auch

ihre Grenzen, wo wir heute schon merken,
dass sie technologischen Entwicklungen

nicht ausreichend gefolgt ist, wo es
damals keinen Kompromiss gab und sie immer

noch auf dem Stand von 1995 ist. Wenn ich
jetzt fragen würde, wer 1995 noch gar

nicht geboren war, würden wahrscheinlich
einige Finger hochgehen. Sie können sich

aber überlegen, was das für ein Stein-
zeitalter aus technologischer Sicht ist.

Wir müssen es auch deswegen machen, weil
wir auch Vertrauen in Digitalisierung

gewinnen müssen. Ich glaube nämlich nicht,
dass Daten der Rohstoff des 21.

Jahrhunderts ist, sondern Vertrauen! In
einer so komplexen Welt, wo ich gar nicht

mehr weiß – Wo werden Daten erhoben, wer
verwendet sie und ähnliches mehr? – kann ich

nicht mir jedes einzelne Produkt, jede
einzelne Verbindung überprüfen, sondern

ich muss ein System haben, in dem ich der
Anbieterin oder Anbieter, sei es staatlich

oder privat, ein Grundvertrauen
entgegenbringen kann, weil sie bewiesen

haben, dass sie bestimmte Standards jedes
Mal einhalten, wenn sie hereingehen, weil

sie unabhängig überprüft werden können und
weil sie schwer bestraft werden, wenn sie

sich an diese Standards dann bei einem
Produkt nicht gehalten haben. Wenn wir

dies nicht machen, wenn wir das nicht
machen, hat es zwei Folgen. Es wird sich

gewehrt werden gegen Digitalisierung, da,
wo es möglich ist. Andere werden gar nicht

hineingehen. Wir wollen weder einen
Fatalismus nach dem Motto „Da kannst du

nichts machen, ich stimme allen zu“. Und
auch keine digitale Askese haben. Wir

möchten, dass Digitalisierung
gesellschaftliche Innovation und nicht nur

technologische Innovation ist. — Applaus
Deswegen sind wir unterwegs und möchten in

den Bereichen von Scoring und Profiling –
das sind ja die Schwestern des Trackings;

Ich versuche, Leute einzuordnen, zu
kategorisieren, statistisch in Gruppen

einzuteilen –; Da brauchen wir klare
Nachschärfungen. Und wir wollen natürlich

gerade den kleinen Unternehmern und den
Start-Ups und den Einzel-EntwicklerInnen

und -Entwicklern Erleichterungen im
Bereich der Informations- und

Dokumentationspflichten verschaffen. Da
glaube ich durchaus, kann man an einigen

Stellen zurückdrehen, wenn man dafür an
anderen Stellen das Datenschutzniveau

durchaus höher wertet. Wir versuchen zu
helfen, über Guidelines und Auslegungs-

Papiere, die wir heranziehen. Wir würden
aber gerne eins machen. Derzeit ist immer

Verantwortlicher im Sinne des
Datenschutzrechts die Person, die ein

System gegenüber Bürgerinnen und Bürgern,
Kundinnen und Kunden zum Einsatz bringt.

Ich glaube, dass wir die Herstellerinnen
und Hersteller von Systemen stärker in die

Verantwortung nehmen müssen und nicht nur
wegen Debatten, die Sie hier auf ihrem

Kongress selber in den letzten Tagen ja
geführt haben, und interessanten

investigativen Dokumenten, die Sie
veröffentlicht haben, sondern nur dann ist

das möglich. Ich habe hier nur kurz
gestanden und bin wieder auf die üblichen

Probleme angesprochen worden. Wie ist es
mit dem Einsatz von Windows 10 in meiner

Rechtsanwaltskanzlei, in meiner Behörde in
ähnlichem mehr? Und dann immer zu sagen,

„Ja derjenige der es einsetzt ist der
Verantwortliche im Sinne des

Datenschutzrechts“ ist, glaube ich bei
immer komplexer werdenden Systemen, bei

der Verabschiedung von der On-Premise-World
einfach zu kurz gesprungen und muss sich

technisch an der Stelle durchaus weiter
bewegen. Es gibt also eine ganze Menge zu

tun. Der Deutsche Bundestag hat uns
freundlicherweise eine deutliche

Aufstockung an Stellen gegeben. Vielen
Dank an die anwesenden

Bundestagsabgeordneten, damit wir ein
Stück noch mehr machen können. Sehr viel

werden wir in der Tat in den
Sicherheitsbereich investieren. Wir

stellen übrigens auch ein und deswegen an
alle, die im Saal sind: Wir brauchen Sie

als Unterstützerin und Unterstützer in der
Sache. Wir brauchen Sie als konstruktive

KritikerInnen und Kritiker. Wir brauchen
Sie als Beispielgeber und Beispielgeberinnen

für datenschutzfreundliche, innovative
Technologien. Und wir würden auch gerne

viele von Ihnen als Mitarbeiterinnen und
Mitarbeiter gewinnen. Es ist schön auf der

hellen Seite der Macht – kommen Sie zum
BfDI! Vielen Dank für das Interesse bis zu

dem Zeitpunkt. Ich freue mich
noch auf die Diskussion.

Applaus

Herald: So, wenn ihr Fragen habt, dann
stellt euch bitte an die Mikrofone hier im

Saal und versucht eure Fragen kurz zu
formulieren. Frage Nummer 1 geht an den

Signalangel.
Signalengel: Hier eine Frage von

Mastodon: Nach dir hält auch Arne
Semsrott von Frag den Staat seinen Talk.

Du bist ja auch
Informationsfreiheitbeauftragter. Hast du

eine Erklärung, warum Ministerien und
Behörden, die selber immer mehr Befugnisse

fordern, so unwillig sind, selber diese
öffentliche Daten auch preiszugeben?

Kelber : Nein. — Lachen, vereinzelt Applaus
Und selbst dann, wenn sie gute Beispiele

haben. Als wir damals im Justizministerium
2013 als neue Mannschaft angefangen

hatten, haben wir uns nach ein paar Wochen
entschieden, dass wir alle Stellungnahmen,

die im Rahmen zu Gesetzentwürfen ans
Ministerium geschickt werden – ist ja Teil

der Gesetzgebung, dass man dann sagt,
jetzt hätten wir gerne Kommentierungen von

Verbänden, Organisationen und anderen –
dass die alle öffentlich gemacht werden.

Es ist keine einzige weniger reingekommen,
aber jeder kann nachprüfen: Von wem sind

welche Anregungen zwischen Gesetzentwurf
und endgültigem Gesetz eingeflossen oder

nicht. Das ist das, was ich als
Vertrauensbildung meine. Es haben

teilweise einige übernommen, nachdem sie
vor Gericht dazu gezwungen wurden, haben

das wieder eingestellt. Jetzt machen Sie
es wieder. In der Tat kann

Informationsfreiheit für eine
Behördenleitung auch extrem ätzend sein.

Und zwar nicht, weil irgendwas
Unangenehmes nachher veröffentlich wird.

Dann muss man halt aufpassen, dass man
in den Kommentaren, die man auf

was drauf schreibt in der Wortwahl
gemäßigt bleibt. Also schreibe ich nicht

drauf. „Der Idiot“ oder so, sondern schreibe
ich „Ich bin nicht dieser Meinung“. Aber es

kann natürlich unglaublich viel Arbeit
sein. Ich ärgere mich auch; ich bekomm irgendeine

Beschwerde ins Haus. Nach zwei Wochen
stellt einer einen Informationsfreiheitsantrag

alle E-Mails, die zu der Beschwerde in
unserem Haus geflossen sind, zu sehen.

Dann schreiben wir ihm als Zwischengeschichte
auch noch zusätzlich zurück. Jetzt haben

wir die Stelle um Stellungnahme gebeten.
Dann kriegen wir sofort

Informationsfreiheitantrag, den gesamten
E-Mail-Verkehr mit der Stelle zu bekommen

und am Ende anstatt 10 Beschwerden
bearbeiten zu können, sind wir mit einer

Person beschäftigt. Das ärgert einen. Wir
sind natürlich die Guten. Da wir die

Informationsfreiheit haben, machen wir
natürlich gerne mit Freude. Aber wenn ich

zu ’ner Ministerin oder Minister gehe, die
kennen alle nur wieviele Leute werden

abgezogen, um auch seltsame
Informationsfreiheitsgeschichten zu

machen? Ich stoße dort auf wenige Fans. Zu
glauben, dass wir in absehbarer Zukunft

auf Bundesebene eine deutliche
Verbesserung des

Informationsfreiheitsgesetz sehen,
bezweifle ich. Da ist noch viel

Überzeugungsarbeit zu leisten.
Herald: Mikrofon Nr. 4. Deine Frage

bitte.
Frage: Herr Kelber, es ist Ihre Aufgabe,

die Geheimdienste und Sicherheitsbehörden
zu kontrollieren und den Datenschutz auch

dort. Sind Sie der Meinung, dass Sie das
effektiv tun können und ausreichend

Fähigkeiten und Befugnisse haben?
Und wenn nein, was fehlt?

Kelber: Die Kontrolle im Bereich der
Erhebung und Verarbeitung von Daten in dem

gesamten restlichen Bereich? Ich glaube,
mit den zusätzlichen Stellen, wenn wir sie

besetzt haben, haben wir durchaus erst
einmal Ressourcen, um auch die

Kontrolldichte hochzuhalten. Wir werden
selber arbeiten müssen bei der Überlegung,

wie technologische Veränderungen und auch
Veränderungen in den Informationssystemen

der Dienste unsere Kontrolltätigkeit
gegenüber früher verändern. Aber das ist

natürlich ganz was anderes. Ist Zugriff auf
eine sequentielle Datenbank mit einem

Gothemsystem vom Palantier, wenn es zum
Einsatz käme, was in der Kontrolle in dem

Unterschied ist, in der Zusammenarbeit der
Dienste untereinander mit dem Ausland,

gibt es aus meiner Sicht durchaus
Kontrolllücken. Da versuchen wir auch, mit

den anderen Aufsichtsgremien wie der
G-10-Kommission und der unabhängigen

Gruppe im Kontakt zu sein. Und ich hätte
gerne natürlich … also in der Joint Implementation

Richtlinie, die ich vorhin erwähnt hatte,
ja, für den Staatsbereich gilt. Die ist ja

in Deutschland auch nach 3 Jahren noch
nicht vollständig umgesetzt. Im Bereich

des BKA haben wir Untersagungsrechte.
Die müssten wir im

Bereich der Bundespolizei auch haben. Die
hat man noch nicht eingerichtet als

Gesetzgeber. Das ist ein Verstoß gegen
Europarecht in Deutschland. Wo es nicht

vorgeschrieben wird durch Europarecht,
aber sinnvoll wäre, wäre diese

Untersagungsrechte auch für die Dienste zu
haben. Das würde dann nicht nach dem

Motto, Ich sage dann „aber die waren jetzt
ganz gemein, haben sich nicht ans Recht

gehalten“, sondern ich könnte dann in
einem besonderen Fall in Zukunft

untersagen die Nutzung von Daten oder die
Löschung anweisen. Und der Dienst müsste

vor Gericht gehen und müsste vor Gericht
meine Anweisung widerrufen lassen. Ich

glaube, das wäre der bessere Weg für die
Aufsicht und würde auch mehr Verständnis

für die Arbeit der Dienste wecken. Aber
auch dafür gibt es noch keine Mehrheit

beim Gesetzgeber.
Herald: Mikrofon Nr. 2. Deine Frage

bitte.
Frage: Sie haben gesagt, dass wir ein

gewisses Maß an Digital Literacy brauchen,
um der Probleme Herr werden zu können. Ich

sehe gerade das Problem, dass wir
politisch eher in die entgegengesetzte

Richtung steuern, primär weil kommunal
z. B. Meldedaten verkauft werden und die

Bundesregierung auch eher rhetorisch
so eine … ökonomisch orientierte Linie

fährt. Wie werden wir dieser Sache Herr?
Kelber: Ich meinte ja mit dem Begriff

Digital Literacy, dass die Leute ein
Grundverständnis für digitale Vorgänge

haben. Was passiert? Was passiert mit
Daten? Wie funktionieren IT-Systeme?

Algorithmische Systeme? Das wird
übrigens—der Teil ist sicherlich auch

eine Aufgabe von Schulen und
Bildungsinstitutionen. Da aber 80 Prozent

der Bevölkerung die Schulzeit hinter sich
haben und mehr, werden wir sie auch über

andere Wege erreichen müssen. Dazu gehören
übrigens auch in den Informationspflichten

in der Datenverarbeitung nicht mehr „Ich
mache eine super lange Information“,

sondern ich muss an einer Stelle, wo etwas
passiert, eine leichte Erläuterung des

Vorgangs haben, damit die Menschen
tatsächlich mit dem Vorgang, den sie

machen, ein Verständnis entwickeln können.
Was Sie meinen, ist ja die Frage, wie ist

eigentlich die Souveränität? Wie kann ich
wenigstens wissen, was passiert? Was darf

der Staat machen? Schaffen die gesetzliche
Grundlage für die Weitergabe von Daten

einfach nur, weil sie davon ausgehen, dass
sie nicht genügend freiwillige

Einverständnisses bekommen. Da muss sich
der Gesetzgeber zurückhalten. Er sollte bei

den gesetzlichen Grundlagen trotzdem ’ne
Verhältnismäßigkeit bewahren. Ist übrigens

auch etwas, was wir natürlich in unseren
Stellungnahmen immer mitprüfen und was

auch vor Gericht angegriffen wird von
Nichtregierungsorganisationen. Das zweite

ist, das war das, was ich vorhin meinte
technische Maßnahmen, die den Bürger auf

einen höheren Stand nehmen.
Wenn wir jetzt wirklich mal an eine

Registermodernisierung in Deutschland
herantreten, bitte bitte nicht – weil es

aus meiner Sicht verfassungswidrig ist –
mit einem einheitlichen Identifier. Kann man

auch anders machen. Aber dann wäre
wirklich mal ein Datencockpit, wo

Bürgerinnen und Bürger sehen, zumindest
mal vielleicht außerhalb der unmittelbaren

Sicherheitsdienste schon mal sehen können:
Wer hat welche Daten, wer hat sie

abgerufen und mit wem geteilt? Von allen
staatlichen Registerstellen. Das kann man

heute technisch herstellen, und das wäre
dann auch ein Gebot, dass der Bürgerinnen

und Bürger etwas davon haben, wenn der
Staat seine IT-Systeme modernisiert.

Applaus
Herald: Mikrofon Nummer 8 Deine Frage

bitte.
Frage: Sie haben ja vorhin gesagt, dass

ein möglicher Weg zu sichereren oder
datenschutzfreundlicheren IT-Produkten

die Standardisierung und Zertifizierung
sein könnte. Was konkret ist denn da schon

in der Entwicklung? Auf was können wir uns
einrichten? Es gibt ja die ISO 27001,

aber da ist der Datenschutz eher ein
optionales Randthema. Und, genau,

was kommt jetzt konkret?
Kelber: Bei der Standardisierung sind wir

glaube ich noch nicht sehr weit. Aber wir
werden für die Entwicklungsmodelle gerade

im Bereich algorithmischer Systeme und KI-
Systeme, denke ich, nochmal für erweiterte

Standardisierung brauchen, mit der ich
wenigstens Modelle habe, wie ich in der

Entwicklung bestimmte Dinge
berücksichtige. Wann mache ich welche

Folgenabschätzungen? Wie steht die
Zurverfügungstellung von Daten aus? Wie

sieht die Kontrolle von Datenqualität aus,
und und und. Bei der Zertifizierung sind

wir ein Stückchen weiter. Ich spreche jetzt
bewusst nicht von Siegeln wie in dieser

Debatte über das IT-Siegel, das ja dann
logischerweise, wenn es ein Siegel sein

soll, auch weit über gesetzliche Vorgaben
hinausgehen müsste, sondern dass wir

ermöglichen, dass man, wenn man ein
Produkt hat, sich durch eine

Zertifizierungsstelle, die beliehen ist,
zertifizieren lassen kann, dass man damit

die Anforderungen des Gesetzes eingehalten
hat. Das heißt, der nächste, der es

einsetzt, bekommt das Siegel. Wenn ich das
wie vorgeschrieben einsetze, dann ist

dieser Bestandteil DSGVO-konform, und
ich muss mir bei dem, was ich add-on mache,

bin ich dann der Verantwortliche. Da sind
wir jetzt so weit, dass der Europäische

Datenschutzausschuss seine Guideline
verabschiedet hat. Danach haben Sie

erlaubt, dass die Nationalstaaten ihre
einbringen. Das haben wir im nächsten

Monat gemacht. Ich hoffe, dass wir
spätestens im Februar die Genehmigung

durch den europäischen
Datenschutzausschuss für die deutsche

Variante bekommen. Dann dürften in diesem
Jahr noch die ersten Akkreditierungen,

ersten Zertifizierer, durch die deutsche
Akkreditierungsstelle zugelassen werden.

Ich erwarte, dass zum Beispiel im
Bereich der Cloud-Dienste ein solcher

Zertifizierer an den Start geht.
Herald: Mikrofon Nummer 1,

deine Frage bitte.
Frage: Vielen Dank für den Vortrag, auch

dass Sie hier auf dem Kongress sind. Ja,
ich bin seit einiger Zeit verantwortlich

in IT-Management-Positionen …
Herald: Bitte die Frage!

Frage: … und auch da
implementierte ich natürlich sehr viele

Datenschutzmaßnahmen. Sie haben es kurz
angesprochen. Mich würde interessieren,

wann wir auch mal Ergebnisse sehen im
Bereich der großen Internetkonzerne –

Google, Facebook, Amazon und so weiter,
ob dann auch mal vielleicht Bußgelder etc.

auch an diese großen
Unternehmen zugeteilt werden.

Kelber: Der Druck natürlich auf die Ba…
Ich habe ja vor allem zwei nationale

Datenschutzbehörden genannt, die die
Zuständigkeit haben für besonders viele

der großen Internetkonzerne. Ganz kurzer
Exkurs europäisches Datenschutzrecht,

sogenannter One-Stop-Shop. Die nationale
Behörde, in der der Hauptsitz innerhalb

der Europäischen Union ist, ist zuständig.
Das heißt, bei den Großen wie Google und

Facebook und Microsoft und Apple ist das
z. B. Irland. Bei Amazon ist es Luxemburg

als ein Beispiel. Und das sind
natürlich erstens relativ kleine

Datenschutzbehörden. Sie haben einen
besonders wirtschaftsfreundliches

Verwaltungsrecht,—vereinzelt Applaus—
… Ja, es sind besonders hohe

Vorgaben dran, was man alles tun muss,
bevor man überhaupt einen Bescheid

herausgeben darf. Wenn meine irische
Kollegin so über Fälle sprechen würde, wie

ich das in Deutschland mache, würde sie
sofort vor Gericht scheitern. Weil dann

würde der Richter sagen „Sie waren
voreingenommen in der gesamten

Betrachtung“, völlig egal, ob sie selber
die Untersuchung gemacht hat oder jemand

anderes. Trotzdem haben wir gesagt, es
sind jetzt über 600 Tage, und wir wollen

zu sehr offensichtlichen Datenschutz-
Verstößen jetzt den Vorschlag der Iren

und der Luxemburger auf den Tisch kriegen.
Und dann schauen wir anderen uns an, ob

wir der gleichen Meinung sind. Und wenn
wir nicht der gleichen Meinung sind, dann

wird mit Mehrheit im Europäischen
Datenschutzausschuss darüber abgestimmt,

wie die Sicht der europäischen
Datenschutzbehörden sind. Und das ist dann

der erlassene Bescheid. Das heißt, die
Gefahr, dass wie in Deutschland das

Kraftfahrzeugbundesamt einfach alleine
entscheidet, entsteht am Ende im

Datenschutz nicht. Da können dann die
anderen Kraftfahrzeugsbehörden das

Kraftfahrzeugbundesamt bei Dieselgate
überstimmen. Das wäre doch schön, wenn es

da auch gegeben hätte. Aber es dauert
halt. Ich habe jetzt den Iren angeboten, dass

sie uns mal einen Fall abtreten dürfen.
Wir haben auch Fälle vorgeschlagen. Bisher

ist das noch nicht beantwortet worden. Der
irische Staat hat nur einen minimalen

Aufwuchs in diesem Jahr wiedergegeben
der Datenschutzbehörde. Die ist schon

gewachsen in den letzten Jahren nur ein
Viertel von dem, was die Kollegin

beantragt hatte. Und das ist ein Staat …
es ging um 5 Millionen Euro im Jahr. Der

gleiche Staat, der im Augenblick vor
Gerichten, versucht zu verhindern, dass

Apple ihm 14 Milliarden Euro Steuern bezahlen
muss. Da merken Sie, was der Gedanke

dahinter ist. Ich habe bewusst Dieselgate
verwendet, um deutlich zu machen: Das ist

ja auch den Nationalstaaten in der
Europäischen Union nicht fremd, sich

schützend vor einen Wirtschaftszweig zu
stellen. Aber das dürfen wir ihm einfach

nicht durchgehen lassen. Aber wann es
soweit ist, kann ich Ihnen noch nicht sagen.

Applaus
Herald: Signal-Angel, die nächste Frage

aus dem Internet bitte.
Frage: Woran scheitert es, dass

Datensparsamkeit so wenig Gehör in der
Politik stößt? Und wie können wir Hacker

dabei helfen, abseits davon
für Sie zu arbeiten? —vereinzelt Lachen

Kelber: Ich glaube, erst einmal hat es
eine erfolgreiche Lobbyarbeit darin

gegeben, Menschen an führenden Stellen
in der Politik zu verstehen zu geben,

Datensparsamkeit sei Datenarmut. Man müsse
wichtige Daten wegschmeißen. Damit würden

wir mit USA und China nie mehr
gleichziehen können. Dieser einfache

Dreisatz ist denen in die Köpfe implementiert
worden. Deswegen – habe ich tatsächlich auf

dem Digitalgipfel erlebt – wie einen Monat
bevor europäisches Recht ist, mit den

Stimmen Deutschlands beschlossen
wurde, endgültig wirksam wurde:

Datenschutzgrundverordnung, die
Bundeskanzlerin sich hinstellt und sagt:

„Wir müssen das Prinzip der
Datensparsamkeit aufgeben“. Das aber später

bindendes europäisches Recht wurde, vorher
bindendes deutsches Recht war. Das ist

schon etwas, was man selten erlebt an dem
Punkt. Da werden wir ein ganzes Stück für

werben müssen, dass das einfach nicht wahr
ist. Wenn wir aber auch einfache Narrative

gemeinsam entwickeln müssen, die ähnlich
aufzuführen. Ich finde ja so ein

Narrativ wie „dich gehen Daten nichts an,
die nichts mit einer Dienstleistung zu tun

haben“, ist so eine einfach, weil das ist
eine Werteentscheidung, die ich treffe. Und

solche Werteentscheidungen haben wir oft
getroffen. Klar wird es für Deutschland

wirtschaftlich attraktiver,
Kohlekraftwerke mit Kindern zu betreiben,

weil dann könnte man die Stollen kleiner
machen. Dann können wir gleich wieder mit

Preisen aus Kolumbien mithalten. Haben wir
uns aber aus Wertegründen entschieden, es

nicht zu tun. Dasselbe sollten wir auch
mit Daten machen, die unsere Grundrechte

beeinflussen.
Applaus

Herald: Mikrofon Nummer 4,
deine Frage bitte.

Frage: Herr Kelber, Sie haben ja selber
gesagt, dass Gesetze oftmals noch nicht

reichen. Mir persönlich geht es auch so,
dass ich das Gefühl habe, zum Beispiel die

Datenschutzgrundverordnung ist manchmal
ein bisschen zahnlos, und meine Frage an

Sie ist: Welche Handlungsalternativen
sehen Sie da? Wie sieht es aus z. B. mit

Bereitstellung von alternativer
Infrastruktur? Gerade zu Cloud, großen

Cloud-Anbietern zum Beispiel. Wie sieht es
aus mit Förderungen für Open-Source-

Software für Projekte, die z. B. auch
irgendwie grün unterwegs sind,

Daten schützen, wie auch immer. Was gibt’s
da für Möglichkeiten in der Politik?

Kelber: Ich glaube, man sollte nicht das
eine lassen und das andere unterschätzen

und das dritte dann nicht machen. Ich bin
für die Förderung vor allem dort, wo ich

glaube, mit der Förderung – das ist ja dann
mein Job – Verbesserungen für die Datenschutz-

Situation herbeizuführen. Das war das Beispiel
mit den Messengersystemen, weil die

natürlich welche sind, wo ganz
besonders viele relevante sensible Daten

abgegriffen werden. Da bin ich in eine
Monopolsituation reingekommen, die ich

nur noch mit Krafft aufbrechen kann.
Das eine wäre, diese Frage der

Interoperabilität zu erzwingen, wenn
allein ein Drittel der Sprachnachrichten

heutzutage über Messengersysteme, nicht
mehr über Handy oder Festnetz geht, da

müssen sie auch die gleichen Pflichten
erfüllen wie die anderen. Das ist z. B.

Interoperabilität. Ich glaube aber, und
deswegen werbe ich dafür. Und der Chef des

Bundesamtes für die Sicherheit in der
Informationstechnik hat ja ähnliches schon

mal verlautbaren lassen. Ich glaube
tatsächlich, wir sollten ein Messenger

System als deutsche Verwaltung – am besten
die gesamte, aber ansonsten muss der Bund

eben anfangen – anbieten für Bürgerinnen
und Bürger. Aber eins, das datenschutz-

freundlich ist. Und da, glaube ich, gehe
das tatsächlich nur auf der Open Source

Software Basis. Und wenn unser großer
Nachbarstaat es auf einer solchen Basis

macht – Matrix – sich dann anzuschauen,
sind das die gleichen Bedingungen, die die

Franzosen haben und dann noch mehr
Schlagkraft reinzubringen. Ich verstehe

das ja manchmal im privaten Umfeld nicht.
Dass Menschen, die 15 verschiedene

Leih-Fahrräder und -Elektroscooter-
Anwendungen auf ihrem Gerät haben, nicht

in der Lage sein wollen, einen zweiten
Messenger zu installieren, mit dem sie mir

ohne Daten abgreifen, mit mir
kommunizieren können, da ist irgendwie

eine Denkblockade. — Applaus
Herald: Mikrofon Nummer 2 bitte.

Frage: Wie sensibilisiert man den
durchschnittlichen nicht-IT-affinen Bürger

und Politiker für sein eigenes
Interesse an Datenschutz?

Kelber: Ansprechen! Die wollen auch
angesprochen werden. Den Bürgerinnen

und Bürgern muss man es wahrscheinlich …
Politikerinnen und Politiker wollen

angesprochen werden, auch die nicht-
Netzpolitiker, nicht die Digital-

Politikerinnen und -Politiker. Bei
Bürgerinnen und Bürgern wird man

vielleicht auch neben dem jährlichen
Skandal, nachdem es mal ein kurzes

Interesse gibt, das nicht immer sich im
Handeln ausprägt, wird man das auf eine

Art und Weise machen müssen, dass sie
Bilder erkennen, dass sie in einfachen

Systemen machen. Was meistens
funktioniert, wenn ich in Gruppen rede,

die keine Vorbildung haben, ist ihnen zu
verdeutlichen, was das, was im digitalen

Bereich gerade passiert, in ihrer
gewohnten analogen Welt bedeuten würde.

Wenn ich denen dann erzähle mit Tracking:
Stell dir mal vor, du gehst in die Bonner

Fußgängerzone und in dem Augenblick, wenn
du sie betrittst, beginnt einer, hinter dir

herzulaufen, der schreibt auf, an
welchen Geschäften du stehenbleibst, mit

wem du dich unterhälst. Der bietet dir
irgendwann Kaffee an. Kostenlos. Wenn ihr

nach dem Becher greift, sagt er aber „Ich
will erstmal gucken, wer waren denn die

letzten fünf Leute, die sie getroffen
haben.“ Wenn es verboten würde,

Briefumschläge zu verwenden, alles nur
noch auf Postkarten geschrieben werden

dürfte. Wenn Sie es so übertragen in die
Welt, die die kennen. Dann wird der ein

oder andere auch wach. — Applaus — Als ich
noch Parteipolitiker war, habe ich mir

immer mal vorgenommen, einen Kaffeestand beim
Tag der offenen Tür vorm Innenministerium

zu machen mit umsonst Kaffee. Aber den
kriegen die Leute dann tatsächlich nur,

wenn ich einmal kurz ihr Handy
durchgucken darf. — Lachen, Applaus

Aber das kann ich jetzt nicht mehr machen,
das traue ich mich nicht mehr.

Herald: Mikrofon Nummer 8 bitte!
Frage: Vielen Dank noch einmal für den

Talk. Man sieht hier auf dem Kongress
selbst da, wo man denkt, man hat viel

Gutes an Sicherheit gemacht, gibt es immer
noch Schlupflöcher. In den meisten Fällen

hat man nicht so viel Gutes gemacht. Daher
von mir die kurze Frage: Wie ist bei Ihnen

das Verhältnis Datenminimierung zu dem
Thema Datensicherheit, sprich in Form von

Sicherheitsmaßnahmen zu sehen? Wo ist die
Minimierung wichtiger? Und wo ist die

Sicherheit akzeptabel?
Kelber: Ich glaube übrigens, dass man

erstmal durch Datensicherheit eine ganze
Reihe von Datenschutz-Sicherheitsproblemen

ausschließen kann, aber was sie ja
wahrscheinlich ansprechen ist, dass ich an

manchen Stellen eventuell Daten sammeln
muss, um z. B. Angriffsvektoren oder

ähnliches zu erkennen. War es das,
was Sie meinten?

Frage: Es ging darum, dass wir überall
sehen: Belgacom. Da greift sich einfach ein

fremder Geheimdienst die Daten und
ähnliches …

Kelber: Daten. Dann ist Datenminimierung
ein Teil eines Datensicherheitskonzeptes.

Übrigens auch das Verteilthalten von Daten und
ähnliches ist eine Frage, die ich erwartet

hatte. Wie ist das im digitalen
Gesundheitsschutz? Es gibt ja Daten, wo

es durchaus unethisch sein könnte, sie
nicht einzusetzen. Aber was sind denn die

Sicherheitsmaßnahmen? Wie kann ich
wenigstens das Sicherheitsniveau

erreichen, das ich vorher in der analogen
Welt hatte, wo es ja auch eine Menge

Verstöße gab? Wo krieg ich eine
Verbesserung hin? Wo sind die Daten so

sensibel, dass ich mit zusätzlichen
Methoden dafür sorgen muss. Von daher auch

vielen Dank an den Kongress für die
Aufdeckung der Sicherheitsprobleme bei den

Karten. Thema Sie können sich sicher
sein, — Applaus — Sie können sich sicher

sein, dass das auch Thema meiner
Referatsleitungsrunde am 6. Januar

sein wird. — Lachen, Applaus
Herald: Mikrofon Nummer 1, Bitte.

Frage: Herr Kelber, schön, dass Sie hier
sind. Sie haben sehr ambitionierte Ziele

zu schadhaften Algorithmen geäußert und
auch zu, dass wir Vertrauen schaffen

müssen. Dann haben Sie eben
gerade noch was erzählt von den

Zertifizierungenmöglichkeiten? Da weise ich
mal darauf hin, dass die Diesel-Motoren

unserer Auto-Hersteller auch alle zertifiziert
sind. Um mal an Auguste Kerckhoff zu

erinnern: Die Sicherheit eines Algorithmus
kann nicht in der Geheimhaltung des

Algorithmus liegen, sondern sollte
möglichst vielen Experten offenstehen.

Jetzt die Frage: Sehen Sie eine andere
Möglichkeit als Open Source um Ihre Ziele,

Algorithmen – schadhafte Algorithmen – zu
verhindern oder Vertrauen zu schaffen? Ist

das mit proprietärer Software
überhaupt machbar?

Kelber: Thema für einen eigenen Vortrag.
Ich glaube, es wird Bereiche geben, wo ich

Daten, nur indem ich sie überhaupt … indem
ich den Algorithmus öffentlich mache, überhaupt

nur Teil einer Kritikalitätsbetrachtung
sein kann. Schauen Sie sich das auch mal in

Zusammenfassung der Empfehlung der Daten
Ethikkommission mit der Pyramide zu

algorithmischen System an. Da ist die
zweitoberste Stufe eine mit der

völligen Offenlage. Für mich als
Aufsichtsbehörde gilt aber trotzdem, dass

wir an bestimmten Stellen
hineingucken wollen in Systemen.

Das ist mir natürlich auch klar,
dass sich die sehr schnell ändern.

also dass ich nicht einmal einen
Punkt habe, wo ich da bin. Dem „Nein“

dort von Unternehmen oder
Behörden. Das akzeptieren wir nicht.

Also wir als Aufsichtsbehörde dürfen alles
sehen. Ansonsten bin ich auch bereit,

Zwangsmaßnahmen einzuleiten. Der Punkt
wird allerdings der sein, dass natürlich,

wenn nicht zertifiziert werden kann, dass
etwas, was eingesetzt ist, tatsächlich die

Punkte erreicht, die man zertifiziert,
dann darf auch kein Zertifikat erteilt

werden. Das war eine der Erfahrungen aus
dem Dieselgate. Deswegen habe ich in

meiner alten Verwendung ja noch
Koalitionsverhandlungen geführt, 2018,

nach den Bundes-Wink-Wochen gab es echte
Koalitionsverhandlungen. Und da steht ein

Satz drinnen: Es muss überhaupt mal etwas
geschaffen werden, wo öffentliche Behörden

die Kompetenz entwickeln können, in
algorithmische Systeme rein zu schauen.

Und das kann auch nicht sein, dass es
jeder einstellt. Weil ich kann nicht 20

Expertinnen / Experten einstellen, das BSI
40, das Kraftfahrzeugbundesamt 10, das

BaFin 10. Das wird nicht klappen. So viele
gibt es gar nicht auf dem Markt die das

können. Wir werden also eine Stelle
beauftragen. Kann ja auch an einem

Netzwerk mit Wissenschaft und
Zivilgesellschaft stehen, um die

Entwicklung von so etwas anzuschauen. Und
dann sind wir wieder etwas näher an dem,

was Sie gesagt haben.
Herald: Lieber Single-Angel, die nächste

Frage aus Internet.
Frage: Sollte man darauf achten, IFG-

Anfragen verantwortungsvoll zu stellen und
auf ein Minimum zu reduzieren, um die

Akzeptanz bei Ministerien zu erhöhen?
Kelber: Wie bei jedem Instrument sollte

man etwas nur dann machen, wenn man es
selber für richtig hält. Aber das ist der

erste Maßstab, natürlich. Aber das wird ja
allein nicht reichen. Ich habe natürlich

auch schon Informationsfreiheitsanfragen
gesehen, die man im Augenblick selber gesagt

hat „Die ist nicht sinnvoll.“ Nachher kam
etwas raus über den kleinen Umweg, wo man

gesagt hat „Es war gut, dass da einer
nachgefasst hat.“ Umgekehrt habe ich bei

Sicherheitsbehörden auch schon IFG-Anträge
gesehen, wo man nichts anderes versucht hat,

als den Ermittlungsstand der Sicherheits-
behörden gegen hochkriminelle Banden

herauszubekommen. Die Bandbreite ist so
groß, die Entscheidung treffen Sie selbst.

Das Gesetz sagt, was Sie dürfen, was Sie
nicht dürfen. Was beantwortet werden muss,

was nicht beantwortet werden muss. Und bei
allem, was das IFG angeht, sind wir noch

in der Ombudsmann-Funktion. Das heißt,
wenn eine Auskunft verweigert wird, können

Sie sich an uns wenden, und wir beurteilen
aus unserer Sicht noch einmal die

Situation.
Herald: Mikrofon Nr. 4, deine Frage?

Frage: Hallo, zunächst vielen Dank, dass
Sie hier sind. Vielen Dank für den Vortrag

und auch herzlichen Dank, dass Sie die
Problematik mit WiFi für die EU auf den

europäischen Datenschutztisch gebracht
haben. Zu meiner Frage: Sie hatten gerade

das Beispiel angesprochen mit der
Notwendigkeit von Datenschutz im

öffentlichen Raum, am Beispiel des Laufens
durch die Fußgängerzone in beispielsweise

Bonn. Sehen Sie dass momentan Arbeit im
Wettbewerbsrecht besteht, um entsprechend,

ich sage mal datensammelwütige
Geschäftsmodelle für Kommunen auch

handhabbar zu machen. Wir haben in Aachen
gerade das Problem, dass im Rahmen von der

Stadtmobiliarausschreibung man ich sage
mal die Wertschöpfung von Daten aus dem

öffentlichen Raum, in der Ausschreibung
nicht berücksichtigt hat, sodass die Stadt

jetzt in der Problematik ist, dass für eine
Stadtmobiliarausschreibung ein Anbieter, der

Daten abschnorchelt ein nach Wettbewerbsrecht
zu wählendes, weil günstigeres Angebot

vorgelegt hat, als ein Anbieter, der nicht
Daten abschnorchelt. Konkret geht es um

ICIM-Trekker an Bushaltestellen.
Kelber: Ist mir im Augenblick nichts

bekannt. Müsste ich tatsächlich
nachhaken, ob auf meiner Fachebene schon

Debatte gegeben hat? Vielen Dank für die
Anregung. Ist ja einer der Gründe, warum

ich hierher gekommen bin, Anregungen
mitzunehmen. Nein, kann ich Ihnen leider gar

nichts zu sagen. Ich weiß, dass im
Augenblick die nächste GWB Novelle dran

ist, aber was dort in den Entwürfen steht
und ob wir schon beteiligt wurden im

Vorfeld – manche Ministerien beteiligen uns
ja im Vorfeld – und dann geben wir unsere

Beratungen nicht öffentlich. Weiß ich
nicht, aber ist zumindest nicht von meinem

Fachebene für so relevant gehalten worden,
dass ich darüber informiert wurde. Also

wenn ist es nur auf kleiner Ebene.
Herald: Vielen Dank, Herr Kelber, für das

geduldige Beantworten aller Fragen. Vielen
Dank für Ihren Vortrag. Es können leider

nicht mehr alle Fragen drankommen.

Applaus

36c3 Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!