Daniel Born

Liebe Kolleginnen und Kollegen, die beiden Anträge konkurrieren miteinander, und der Antrag von Herrn Abg. Lede Abal ist der weiter gehende. Darum lasse ich zunächst über diesen abstimmen. Ich darf die Mitglieder des Hauses, die dem Antrag von Herrn Abg. Lede Abal zustimmen, um ihr Handzeichen bitten. – Vielen Dank. Gegenprobe! – Enthaltungen? – Damit ist dem Antrag mehrheitlich zugestimmt, und die Wahl ist somit verschoben worden. Ich rufe Tagesordnungspunkt 9 auf: Beschlussempfehlung und Bericht des Ständigen Ausschusses zu der Mitteilung des Landesbeauftragten für den de – 75. Sitzung – Donnerstag, 12. Oktober 2023 Datenschutz und die Informationsfreiheit vom 9. Februar 2023 – 38. Datenschutz-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg für das Jahr 2022 – Drucksachen 17/3900, 17/5059 Berichterstattung: Abg. Jonas Weber Liebe Kolleginnen und Kollegen, das Präsidium hat für die Aussprache eine Redezeit von fünf Minuten je Fraktion festgelegt. Das Wort erteile ich zunächst dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, den ich hiermit auch ganz herzlich bei uns im Plenarsaal begrüße, Herrn Professor Dr. Tobias Keber. – Herr Dr. Keber, Sie haben das Wort. Landesbeauftragter für den Datenschutz und die Informationsfreiheit Dr. Tobias Keber: Sehr geehrter Herr Präsident, sehr geehrte Abgeordnete, sehr geehrte Damen und Herren! Es ist mir eine Freude und eine Ehre, Ihnen heute erstmalig den Tätigkeitsbericht vorzustellen. Es ist der 38. Datenschutz-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Das Amt wurde mir durch dieses Haus einen Tag vor dem fünften Geburtstag der Datenschutz-Grundverordnung am 24. Mai 2023 überantwortet. Für die Wahl und das in mich gesetzte Vertrauen bedanke ich mich an dieser Stelle ganz herzlich. Inhaltlich rangiert der Tätigkeitsbericht vor meiner Amtszeit. Ich danke daher dem Leitenden Beamten Herrn Dr. W. für die organisatorisch-redaktionelle Arbeit. Dank schulde ich auch meinem Amtsvorgänger Herrn Dr. Stefan Brink, der ein – jedenfalls nach meiner Einschätzung – gut bestelltes Haus mit hoch motivierten Mitarbeitenden hinterlassen hat. In medias res, und beginnen wir mit Zahlen und Fakten: Der Tätigkeitsbericht 2022 adressiert auf 122 Seiten und in zehn Kapiteln ganz unterschiedliche Bereiche. Im Überblick: Es ging – hoffentlich ein letztes Mal – um Maßnahmen vor dem Hintergrund der Coronapandemie. Es ging um die digitale Bildungsplattform und damit um eine datenschutzkonforme Arbeitsplatzumgebung für Lehrkräfte und um Lernmanagementsysteme, namentlich Moodle und itslearning. Eine zweite Linie in diesem Kontext betraf den Einsatz von Microsoft 365 an Schulen, der nach dem im Tätigkeitsbericht beschriebenen Pilotversuch viele Fragen aufwarf. Der Tätigkeitsbericht schließt hier mit der Feststellung, dass es aus Sicht des LfDI jedenfalls ohne weitere Maßnahmen der verantwortlichen Stellen beim Einsatz der Software schwierig sein wird, der datenschutzrechtlich gebotenen Rechenschaftspflicht nachzukommen. Weiter im Überblick zum Tätigkeitsbericht: Es geht um Europa und die weitere Entwicklung des Digitalrechts, um das Bildungszentrum, um Datenschutz als Kulturaufgabe. Es gibt einen vielfältigen Überblick über Einzelfälle, und es gibt einen Bericht aus der Bußgeldstelle. Ein ganz zentraler Aspekt schließlich ist das, was wir ganz bewusst an den Anfang des Berichts gestellt haben: die Bera- (Landesbeauftragter für den Datenschutz und die Informationsfreihe tung. Unser Schwerpunkt in diesem Jahr zeigt, wie wir bera- ten, unterstützen, mit Bürgern, Behörden und Unternehmen ins Gespräch kommen, um datenschutzrechtlich gute Lösungen zu finden und die Rechte der Bürgerinnen und Bürger zu stärken. Vor diesem Hintergrund beginne ich den obligatorischen statistischen Block mit einer Zahl, die Sie im Bericht anderer Landesdatenschutzbeauftragter so nicht finden werden. Unser Bildungszentrum – kurz BIDIB – erreichte im vergangenen Jahr 3 200 Interessierte. Damit hat das BIDIB im dritten Jahr eine abermals gestiegene Nachfrage bei der – nennen wir es mal so – systemischen Beratung zu verzeichnen. Angeboten wurden Schulungen, Workshops und Diskussionsrunden. Die Zahl der individuellen Beratungen, die unsere Dienststelle direkt erreichten, sank von 2 206 auf 1 935. Weitere Fakten und Zahlen: Nach dem Ende der Coronapandemie ging die Zahl der Beschwerden zurück und lag 2022 bei knapp 3 800 Beschwerden. Wir haben deutlich mehr Kontrollen durchgeführt als im Jahr zuvor – da waren es nur zehn; angesichts von Corona hielten wir das anderweitig für unverhältnismäßig. Im letzten Jahr, 2022, waren es 33 Kontrollen. Das ist trotzdem noch eine vergleichsweise niedrige Zahl. Datenpannen: Es gab mit knapp 2 750 gemeldeten Datenpannen etwas weniger Datenpannen als im Vorjahr, aber die Zahl ist weiter hoch. Die Zahl der Bußgeldverfahren lag bei 213 und ist damit stark gestiegen. Aus dem Bericht möchte ich vier Punkte besonders herausgreifen: die KI-Woche, unser Bildungszentrum, Europa und den Kommunalen Datenschutzwettbewerb. Zunächst ein paar Ausführungen zur KI-Woche. Im Juli des vergangenen Jahres haben wir eine umfassende Veranstaltungsreihe organisiert. Auch insoweit einige Zahlen: sechs Tage, 29 Referentinnen und Referenten, 27 Impulsvorträge, sieben Diskussionsrunden. Ganz interdisziplinär haben wir diese Gespräche geführt. An dieser Stelle ein kurzer Exkurs ins Jetzt. Wir haben dieses Format weitergeführt, gerade in der letzten Woche, vom 4. bis zum 6. Oktober. Wir haben erneut über die datenschutzrechtlichen Herausforderungen von künstlicher Intelligenz gesprochen. 13 hochkarätige Vorträge, vier Diskussionsrunden, fünf Workshops, Kunstinstallationen – auch das gab es. Sollten Sie die Veranstaltung verpasst haben, dann können Sie sich das auch ex post bei PeerTube anschauen. Alle Informationen finden Sie auf unserer Webseite. Einer der aus meiner Sicht interessantesten Aspekte, über den wir im Ausblick der Veranstaltung gesprochen haben, sind die in der KI-Verordnung vorgesehenen Reallabore – Innovation in der Regulierung, wenn Sie so wollen. Wo hier Aufgabe und konstruktiver Beitrag der Datenschutzbehörden sein wird, gilt es künftig auszuloten. Hier besteht enormes Potenzial. Nächster Schritt in unserer behördlichen KI-Agenda – hier sind wir redaktionell innerhalb der Dienststelle gerade auf der Zielgeraden – ist der Entwurf eines Diskussionspapiers zu den Rechtsgrundlagen der Datenverarbeitung im Rahmen von KI-Anwendungen. Soweit ich weiß, sind wir bundesweit die ersiode – 75. Sitzung – Donnerstag, 12. Oktober 2023 eit Dr. Tobias Keber) te Behörde, die hier Konkretes, Greifbares veröffentlichen wird. Zurück zur Tätigkeit im Jahr 2022. Mit Ihrer Unterstützung, der Unterstützung vom Landtag, konnten wir beispielsweise in unserer Dienststelle im vergangenen Jahr eine KI-Start-up-Beratungsstelle einrichten. In diesem Jahr haben wir am Digitalgipfel 2023 – Wirtschaft 4.0 BW teilgenommen, sind mit den Unternehmen ins Gespräch gekommen. Auch diese Entwicklung erscheint mir sehr gut. Wir verfolgen das weiter. Ich komme zum zweiten Punkt. Zunächst noch ein paar Ausführungen zu unserem Bildungszentrum, dem BIDIB: Hier war unser zusätzliches und neues Angebot „Schule digital“ für den Anstieg bei den Zahlen der Teilnehmenden verantwortlich. Im Rahmen der Beratung und Unterstützung haben wir auf über 60 Veranstaltungen rund 1 200 Menschen erreicht – ein großer Erfolg. Ebenso erfolgreich und stark nachgefragt ist unser Schulungsangebot zu Datenpannen. Zielgruppe waren und sind hier die Wirtschaft, Akteure aus dem Gesundheitswesen sowie Datenschutzbeauftragte. In Schulungen zum Datenschutz in Vereinen haben wir zusammengenommen über 100 Personen geschult. Heute Abend wäre übrigens die Gelegenheit – obwohl, von 17 bis 19 Uhr; das heißt, Sie sind teilweise entschuldigt –: Es findet gerade eine Schulung zum Datenschutz im Verein statt. Unser Beratungszentrum – das sind sozusagen auch wieder Breaking News – ist ein Exportschlager. Heute – also wirklich heute – besuchte mich der Amtskollege Professor Roßnagel aus Hessen. Grund für das Gespräch war ein Erfahrungsaustausch, denn Hessen möchte auch ein Beratungszentrum einrichten. Ich komme zum dritten Punkt: Europa. Eine Vielzahl europäischer Regelungen zum Digital- und Datenrecht wurden erlassen oder sind im Werden. Das sind u. a. die KI-Verordnung, der Data Governance Act, der Digital Services Act, der Digital Markets Act, der Data Act, der European Health Data Space und die E-Privacy-Verordnung. Diese werden unterschiedliche Bereiche der Digitalisierung regeln. Die DS-GVO wird in Zukunft stärker Bezüge zu weiteren europäischen Regelungen haben, sie wird enger verzahnt und stärker kontextualisiert. Aufgabe von uns wird es künftig sein, das komplexe Zusammenspiel des europäischen Digital- und Datenrechts insgesamt zu überblicken. Wir müssen unsere Aufgabe entsprechend der vom Gesetzgeber in Zukunft möglicherweise dadurch auch neu gewichteten Verantwortungsbereiche wirksam wahrnehmen. Vor allem: Verantwortliche Stellen werden sich orientieren müssen. Neue rechtliche Fragestellungen werden auftauchen, die teilweise Unsicherheit bringen. Zugleich haben die europäischen Regeln auch das Potenzial, Rechtssicherheit zu ermöglichen und Klarheit zu schaffen. Aus Unsicherheit Klarheit zu machen wird auch eine Aufgabe unserer Behörde sein. Ein vierter und letzter Punkt, den ich herausgreifen möchte, erscheint gegenüber dem bisher Ausgeführten zunächst ein bisschen weniger relevant. Er ist in meinen Augen aber von großer symbolischer Kraft. Wir haben im Jahr 2022 den Kom- (Landesbeauftragter für den Datenschutz und die Informationsfreiheit munalen Datenschutzwettbewerb ausgerufen und kommuna- le Stellen eingeladen, kreative und innovative Vorschläge einzureichen, die das Thema Datenschutz bei kommunalen Stellen erleichtern, erklären und umsetzen. Sechs Preisträger wurden ausgezeichnet, deren Ideen Vorbildcharakter haben. Ich meine, das ist ein guter Ansatz. Die Behörde tritt gemeinsam unterstützt von den kommunalen Landesverbänden auf, um Good Practices und Best Practices auszuzeichnen. Kommunen verlieren die Berührungsangst gegenüber unserer Behörde und helfen durch eigene Ideen anderen Kommunen bei der Umsetzung des Datenschutzes. (Beifall bei den Grünen sowie Abgeordneten der CDU und der SPD) Im kommenden Jahr wird der Wettbewerb erneut stattfinden, erweitert durch die Informationsfreiheit. Nach dem Tätigkeitsbericht ist vor dem Tätigkeitsbericht. An dieser Stelle erlaube ich mir auch eine kurze Wasserstandsmeldung nach den ersten – über den Daumen – hundert Tagen meiner Amtszeit. In einer Vielzahl von Gesprächen habe ich ganz intensiv in die Behörde hineingehört. Es ging mir darum, kollaborativ eine gemeinsame Vision für einen Tätigkeitsbericht 2026 zu entwickeln. Ein Teil davon wird sein, dem Narrativ des innovationsfeindlichen Datenschutzes entschieden entgegenzutreten und Unternehmen dabei zu unterstützen, mit Compliance Innovation und digitaler Nachhaltigkeit gestärkt in den internationalen Wettbewerb zu gehen. Erlauben Sie mir schließlich noch, folgende Gedanken zu formulieren. Baden-Württemberg ist ein innovatives Land, das sich im Rahmen der Weiterentwicklung der europäischen Digital- und Datenstrategie frühzeitig eingebracht hat. Es wird künftig verstärkt darauf ankommen, die Entwicklungen des Regulierungsrahmens insgesamt, also u. a. die KI-Verordnung, sehr genau im Auge zu behalten. Schon jetzt stellt sich etwa die Frage, wie eine Ausgestaltung des innovativen Regulierungsansatzes Reallabore in der KI-Verordnung im Ländle konkret aussehen soll. Vielleicht wird unsere Behörde eine Außenstelle im Innovation Park Artificial Intelligence in Heilbronn haben und mit KI-Start-ups in einem Reallabor zusammenarbeiten. Aus meiner Sicht wäre das sinnvoll. Sehr geehrter Herr Präsident, sehr geehrte Abgeordnete, meine sehr geehrten Damen und Herren, ich fasse zusammen: Wir arbeiten im Konkreten vor Ort und haben wesentliche europäische Entwicklungen im Blick. Wir kommen ins Gespräch mit Bürgerinnen und Bürgern sowie Verantwortlichen. Wir beraten Bürgerinnen und Bürger, Verwaltungen, Unternehmen. Wir tun das auf individueller Ebene und systemisch durch Beratung im BIDIB. Wir begrüßen es sehr, wenn wir so früh wie möglich in den Normsetzungsprozess einbezogen werden. Wir haben starke Forschungskonsortien im Land, und sie entwickeln nicht nur im Bereich der Gesundheit und der Automobilindustrie hoch innovative Lösungen. Dies wirft vielfach datenschutzrechtliche Fragen auf. Zunehmend sind diese durch Rechtsfragen bei Anwendungen der sogenannten künstlichen Intelligenz verkompliziert. de – 75. Sitzung – Donnerstag, 12. Oktober 2023 Dr. Tobias Keber) Anspruch an den LfDI muss es sein, im Rahmen des kapazitär Leistbaren Lösungen für Innovation mit Datenschutz inside aufzuzeigen. Die DS-GVO ist forschungs- und innovationsfreundlich. Das haben wir in unserem Tätigkeitsbericht unterstrichen, und das gilt auch und vor allem für die Zukunft. Es bleibt viel zu tun, und ich freue mich darauf. Vielen Dank für Ihre Aufmerksamkeit. (Beifall bei den Grünen, der CDU und der SPD so- wie Abgeordneten der FDP/DVP)