Daniel Born

Ja. Aber auch Sie kennen unsere Geschäftsordnung, dass das Wort zu erteilen ist. (Abg. Daniel Lede Abal GRÜNE: Ich muss die Rea- lität auch benennen dürfen!) Ich habe jetzt nach wenigen Sekunden auch den Sachruf gemacht. (Abg. Daniel Lede Abal GRÜNE: Das ist doch lä- cherlich! – Weitere Zurufe) – Ja. Damit kommen wir jetzt zur geschäftsordnungsmäßigen Behandlung des Antrags Drucksache 17/3272. Abschnitt I des Antrags ist ein Berichtsteil und kann für erledigt erklärt werden. – Sie stimmen zu. Abschnitt II des Antrags ist ein Beschlussteil, der drei Handlungsersuchen an die Regierung enthält. Wer Abschnitt II zustimmt, den darf ich um das Handzeichen bitten. – Vielen Dank. Gegenstimmen? – Enthaltungen? – Damit ist Abschnitt II mehrheitlich abgelehnt. Punkt 9 der Tagesordnung ist erledigt. Meine Damen und Herren, ich rufe noch einmal Tagesordnungspunkt 7 auf: Wahl von Mitgliedern des Kuratoriums der Landeszentrale für politische Bildung auf Vorschlag der Fraktion der AfD Das Ergebnis des geheimen Wahlgangs für die beiden von der Fraktion der AfD vorgeschlagenen Mitglieder für das Kuraode – 105. Sitzung – Donnerstag, 10. Oktober 2024 torium der Landeszentrale für politische Bildung liegt mir nun vor. Ich beginne mit dem Wahlergebnis für Herrn Abg. Klecker: (Abg. Anton Baron AfD: Jetzt, Dennis!) Beteiligt haben sich 125 Abgeordnete. Mit Ja haben 17 Abgeordnete gestimmt, mit Nein haben 102 Abgeordnete gestimmt; es gab fünf Enthaltungen. Ungültig war eine Stimme. (Abg. Anton Baron AfD: Hier zeigen die Demokra- ten ihr wahres Gesicht!) Damit hat Herr Abg. Klecker nicht die erforderlichen Stimmen erhalten, um in das Kuratorium der Landeszentrale berufen zu werden. (Vereinzelt Oh-Rufe – Abg. Anton Baron AfD: Da zeigen die Demokraten ihr wahres Gesicht!) Nun gebe ich das Wahlergebnis für Herrn Abg. Stein bekannt: Beteiligt haben sich ebenfalls 125 Abgeordnete. Mit Ja haben 17 Abgeordnete gestimmt, mit Nein haben 100 Abgeordnete gestimmt; es gab eine Enthaltung. Sieben Stimmen waren ungültig. Somit hat Herr Abg. Stein nicht die erforderlichen Stimmen erhalten, um in das Kuratorium der Landeszentrale für politische Bildung berufen zu werden. Damit ist Tagesordnungspunkt 7 für heute erledigt. Ich rufe Tagesordnungspunkt 10 auf: a) Beschlussempfehlung und Bericht des Ständigen Ausschusses zu der Mitteilung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit vom 31. Januar 2024 – 39. Datenschutz-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg für das Jahr 2023 – Drucksachen 17/6100, 17/6927 Berichterstattung: Abg. Jonas Weber b) Beschlussempfehlung und Bericht des Ständigen Ausschusses zu der Mitteilung des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg vom 11. März 2024 – 4. Informationsfreiheits-Tätigkeitsbericht des Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg für die Jahre 2022/2023 – Drucksachen 17/6300, 17/7485 Berichterstattung: Abg. Thomas Hentschel (Abg. Andreas Deuschle CDU: In dem Titel ist schon die halbe Rede drin!) Meine Damen und Herren, für die Aussprache haben sich die Fraktionen auf eine Redezeit von zehn Minuten je Fraktion verständigt. (Stellv. Präsident Daniel Born) Das Wort erteile ich aber zunächst – ich begrüße ihn ganz herzlich hier bei uns im Saal – dem Landesbeauftragten für den Datenschutz und die Informationsfreiheit. – Herr Professor Dr. Tobias Keber, Sie haben das Wort. Landesbeauftragter für den Datenschutz und die Informationsfreiheit Dr. Tobias Keber: Sehr geehrter Herr Präsident, sehr geehrte Abgeordnete, sehr geehrte Damen und Herren! Als ich zum 1. Juli 2023 meine neue Tätigkeit antrat, übernahm ich nicht zuletzt auch dank des Leitenden Beamten ein gut bestelltes Haus, dessen Mitarbeiterschaft mich mit Expertise und Engagement begeisterte. Ich sprang auf einen fahrenden Zug auf. Gleich zwei Wochen nach meinem Amtsantritt diskutierte ich in unserer Dienststelle u. a. mit dem Europaparlamentarier Axel Voss über die Zukunft des Datenschutzes im Kontext der KI-Verordnung. In den verbleibenden 22 Arbeitswochen des Jahres hatte ich allein zu diesem Thema rund 20 Beratungs- und Vortragstermine. In Anbetracht der vielfältigen Aufgaben, der zunehmenden Herausforderungen im Lichte der zahlreichen neuen europäischen Gesetzesakte zum Daten- und Digitalrecht ist die Behörde einem epochalen Wandel unterworfen und kann diesen Aufgaben nur als eine lernende Organisation gerecht werden. Wir tun dies – das wird auch im Tätigkeitsbericht näher ausgeführt – aus „glokaler“ Perspektive. „Glokal“ – also ein Kofferwort –: sowohl global ausgerichtet als auch lokal verwurzelt. Wir müssen europäisch denken und uns gleichzeitig unserer regionalen Stärken besinnen. Der enge Austausch mit Bürgerinnen und Bürgern, Unternehmen wie Aleph Alpha ebenso wie die Beratung von Start-ups oder die Begleitung von KI-Anwendungen in Behörden sind essenziell. Die Bedeutung der informationellen Selbstbestimmung im Kontext zunehmender Digitalisierung ist auch 40 Jahre nach der Verkündung des Volkszählungsurteils kein aus der Zeit gefallenes Grundrecht. (Beifall bei Abgeordneten der Grünen, der CDU und der SPD) – Vielen Dank. Nun aber zum Kern der Vorstellung des Tätigkeitsberichts 2023. Es ist der 39. Tätigkeitsbericht. So sieht er aus. (Der Redner hält ein Exemplar des 39. Datenschutz- Tätigkeitsberichts hoch.) Ich komme zunächst einmal zu Zahlen, Daten und Fakten. Beschwerden im Jahr 2023: 3 817. Kontrollen: 71 und damit wieder etwas mehr. Kontrollen sind ganz unterschiedlich. Beratungen: 1 682. Seit der Einführung der Datenschutz-Grundverordnung ist das stetig abnehmend. Parallel dazu steigt allerdings die Zahl der Anmeldungen in unserem Schulungszentrum. 2023 waren es insgesamt 3 732 Anmeldungen. Das Konzept einer systemischen Beratung bestärkt uns, diesen Weg weiter zu gehen und weiter auszubauen – auch und gerade mit Blick auf KI. Die Zahl der Datenpannen beläuft sich weiterhin ungefähr gleichbleibend auf einem hohen Wert, nämlich auf 2 913 im Jahr 2023. de – 105. Sitzung – Donnerstag, 10. Oktober 2024 Es überrascht nicht, dass die entsprechenden Schulungen in unserem Bildungszentrum immer ausgesprochen gut besucht sind. Zu guter Letzt die Bußgeldverfahren: Von denen wurden im vergangenen Jahr 185 eingeleitet. Hier zeigt sich übrigens der Trend, dass im Besonderen die Überwachung im Privatbereich zunimmt und zu Bußgeldern führen kann. Ich will das illustrieren und greife zugleich einige wenige Highlights des Tätigkeitsberichts 2023 heraus. Erster Fall: AirTags im Teddybär. Die zunehmende Technisierung macht auch vor höchst persönlichen Bereichen zwischenmenschlicher Beziehungen nicht halt. Während die Überwachung der Bürgerinnen und Bürger durch den Staat engen gesetzlichen Vorgaben entsprechen muss und namentlich heimliche Überwachungsmaßnahmen grundsätzlich nur zeitlich begrenzt möglich sind und unter Richtervorbehalt stehen, so beobachten wir eine Zunahme bestimmter Formen privater Überwachung. AirTags sind etwa streichholzschachtelgroße Geräte, die über Bluetooth geortet werden können und über die Zuordnung zu einem Smartphone das Auffinden verlorener Gegenstände ermöglichen. Die Technik erlaubt es aber auch, die Geräte unbemerkt in persönlichen Gebrauchsgegenständen anderer Personen zu verbergen und damit ihren Aufenthaltsort zu ermitteln. Die AirTags können benutzt werden, um heimlich den Standort des Ehepartners zu detektieren. (Vereinzelt Heiterkeit) Meiner Dienststelle lag ein besonders heikler Fall vor, in dem ein AirTag im Kuscheltier eines Kindes versteckt wurde. Vor dem Hintergrund einer Sorgerechtsstreitigkeit der zwischenzeitlich getrennt lebenden Eltern sollte so bewiesen werden, dass Absprachen zum Aufenthaltsort des Kindes nicht eingehalten worden waren. Das mittlerweile rechtskräftig abgeschlossene Verfahren endete mit einem Bußgeld gegen den Ehepartner, der den Bewegungstracker im Teddybär des Kindes verborgen hatte. Zweites Beispiel: Datenverarbeitung im Verein. Auch 2023 haben wir Vereine intensiv beraten. Dabei ging es beispielsweise um die Verwendung von Mitgliederdaten und den Abgleich mit Identitäten in sozialen Medien. Das in diesem Fall schwierige Zusammenspiel von DS-GVO, BDSG und Satzungsrecht wurde im Rahmen einer Vorprüfung gemeinsam mit den Verantwortlichen erörtert und endete damit, dass von der Einleitung eines aufsichtsbehördlichen Verfahrens abgesehen wurde. Ein weiterer großer Beratungsfall mit intensiver Begutachtung betraf den Datenschutz bei der Herausgabe von Mitgliederlisten. Viele Anfragen erreichten uns im Zusammenhang mit Auskunftsersuchen nach Artikel 15 DS-GVO, die Vereine vor Herausforderungen stellen. Wir haben im letzten Jahr in unserem Schulungszentrum drei Schulungen speziell für Vereine angeboten, die Hilfestellungen leisteten und mit 140 Teilnehmenden ausgesprochen gut besucht waren. (Landesbeauftragter für den Datenschutz und die Informationsfreihe Weil ich in Debatten bisweilen höre, dass Ehrenamtliche über ihrer Tätigkeit das Damoklesschwert ruinöser DS-GVO-Bußgelder schweben sehen, möchte ich auch dem Empirie entgegensetzen: Die Zahl der von 2018 bis 2024 im Ländle verhängten Bußgelder gegen nicht kommerzielle, ehrenamtlich geführte Vereine ist null. Dritter Schwerpunkt: Mobilität und Datenschutz. Hoch automatisiertes Fahren und autonomes Fahren sind ohne die Verarbeitung großer Datenmengen nicht denkbar. Eine DS-GVOkonforme Datennutzung ist dann sehr gut möglich, wenn man den Datenschutz früh und bereits bei der Technikgestaltung berücksichtigt. Dass dies gelingen kann, zeigen gerade namhafte Hersteller aus dem Ländle, die in der Vergangenheit auf die Beratung meiner Dienststelle zurückgegriffen haben; das können sie auch in der Zukunft. Vielleicht verwundert es also nicht, dass die technische Ausgestaltung bestimmter Fahrzeugfunktionen, etwa eines Wächtermodus, unter der Ägide der Datenschutz-Grundverordnung anders ausgestaltet ist, als es bei bestimmten US-amerikanischen Herstellern der Fall ist, wenngleich diese Hersteller zwischenzeitlich übrigens auf Interventionen der europäischen Datenschützer nachgebessert haben. „Privacy by Design made in Europe“ ist hier weiterhin führend, und ich bin fest davon überzeugt, dass sich dies auch im internationalen Wettbewerb nachhaltig behaupten wird. Vierter Schwerpunkt: Gesundheitsdaten und Forschung. In großem Umfang beraten haben wir im Jahr 2023 im Bereich der Gesundheitsdaten und der Forschung. Wir haben uns intensiv in den rechtspolitischen Diskurs eingebracht, in dem die Datennutzung auch unter Beachtung der neuen Vorgaben des Gesundheitsdatennutzungsgesetzes und der EU-Verordnung über den europäischen Raum für Gesundheitsdaten gesehen werden muss. Wir haben in unserem Beratungszentrum Fortbildungen für Forschende angeboten und konkrete Forschungsvorhaben beraten. Wir haben uns beim Forum Gesundheitsstandort Baden-Württemberg eingebracht und im Beirat des Projekts MEDI:CUS gewirkt. Fünfter Punkt: ein Diskussionspapier. Das Thema, das uns im vergangenen Jahr horizontal durch alle Abteilungen beschäftigt hat und dies ohne Frage auch weiterhin tun wird, ist, wie schon eingangs erwähnt, die sogenannte künstliche Intelligenz. Wir haben im November 2023 ein deutschland-, wenn nicht gar europaweit erstes Diskussionspapier zu Gesetzesgrundlagen im Datenschutz beim Einsatz von künstlicher Intelligenz vorgelegt, das auch im europäischen Ausland wahrgenommen und diskutiert wurde, weshalb auch eine englische Übersetzung des Papiers erfolgte. Eine hybride Veranstaltung zu unserem Diskussionspapier im Bildungszentrum des LfDI wurde von annähernd 400 Teilnehmerinnen und Teilnehmern gesehen, was die Strahlkraft und die Relevanz des Themas unterstrich und unseren Streamingserver an die äußere Grenze seiner Kapazitäten brachte. Derzeit arbeiten wir an einer weiteren Version, die wir im Rahmen der BvD-Herbstkonferenz am 17. Oktober vorstellen werden. An dieser Stelle geht es also weiter. Wie im Tätigkeitsbericht möchte ich auch meine Rede mit einem Ausblick schließen: Wo geht es hin? Was sind die großen Herausforderungen für den Datenschutz und die Dienststelle im kommenden Jahr und darüber hinaus? ode – 105. Sitzung – Donnerstag, 10. Oktober 2024 eit Dr. Tobias Keber) Am 20. September wurde die Studie „Automotive Cyber Security – Consumer Attitudes“ vorgelegt. Was steht drin? Beim Thema „Vertrauen in Sachen Datenschutz“ zeigen sich ähnliche Ergebnisse wie bei der Qualitätseinschätzung der Cybersicherheit. Am meisten Vertrauen in die Gewährleistung des Datenschutzes genießt der Studie zufolge Mercedes – diesem Unternehmen attestieren 39 % ein hohes oder sehr hohes Vertrauen –, gefolgt von BMW mit 37 % und VW mit 32 %. Drei chinesische Marken belegen die letzten Plätze. Am 22. September berichtete die Nachrichtenagentur Reuters, dass das US-Handelsministerium ein Verbot chinesischer Softund Hardware in vernetzten und autonomen Fahrzeugen plane, die auf amerikanischen Straßen unterwegs sind. In dem Bericht heißt es, die USA befürchteten, dass die Fahrzeuge Daten über US-amerikanische Fahrer und die Infrastruktur des Landes erheben und an China weiterleiten würden. Gemeinsam mit der Bundesdatenschutzbeauftragten, dem Bundeswirtschaftsministerium und den Datenschutzaufsichtsbehörden Niedersachsens und Bayerns erörtern wir derzeit, wie mit den zugrunde liegenden Fragen umgegangen wird. Soziale Medien und öffentliche Stellen: Internationale Infrastrukturanbieter stellen auch in völlig anderem Zusammenhang datenschutzrechtliche Herausforderungen. Ein brennendes Thema ist der Einsatz des Social-Media-Angebots von TikTok, nicht nur, aber vor allem durch öffentliche Stellen. Hier öffnet sich das Dilemma zwischen Zielgruppenerreichbarkeit auf der einen und datenschutzrechtlich bedenklichen, weil intransparenten Verarbeitungsvorgängen auf der anderen Seite. Die Facetten dieses Dilemmas haben wir in einem Gastbeitrag auf „netzpolitik.org“ umrissen und haben in der Folge eine Checkliste mit Fragen erarbeitet, mit denen sich öffentliche Stellen beim Einsatz von TikTok auseinandersetzen sollten. Diese Checkliste wurde inzwischen auch von anderen LfDIs in Deutschland übernommen. Eine Checkliste ist kein Verbot, eine Checkliste ist aber auch kein Freifahrtschein; sie ist die Anregung, die darin adressierten Punkte zu reflektieren und für erforderlich gehaltene Punkte strukturiert zu hinterfragen. Zudem sind wir in kritisch-konstruktivem Austausch mit den Akteuren, was auch die Kommunikation mit den irischen Aufsichtskollegen der DPC umfasst, die für TikTok zuständig sind. Auch in diesem Zusammenhang ein Veranstaltungshinweis: Am 21. Oktober findet ein „Onlinefrühstück“ statt, bei dem wir zu einer Videokonferenz einladen und um 9:45 Uhr mit einem Experten über die Datenverarbeitung bei TikTok aus der Perspektive der Plattformregulierung sprechen. Hierzu haben Sie über die Poststelle an die Fraktionen gestern eine Einladung erhalten. Ein vorletztes Schlaglicht in Richtung Zukunft: Meine Dienststelle wird sich weiterhin – übrigens unabhängig davon, ob sie zugleich Marktüberwachungsbehörde nach der KI-Verordnung wird – mit künstlicher Intelligenz befassen, soweit dabei personenbezogene Daten verarbeitet werden. Das ist z. B. der Fall, wenn Lernassistenzsysteme im Bildungsbereich, also an Schulen und Hochschulen, adaptiv und individualisiert arbeiten. Hier ergibt sich einerseits großes Potenzial für mehr Bildungsgerechtigkeit, andererseits muss vermieden werden, dass personenbezogene Daten von Schülerinnen und Schülern (Landesbeauftragter für den Datenschutz und die Informationsfreiheit für bildungsfremde, kommerzielle Zwecke verarbeitet wer- den. Hier möchte ich mich mit meiner Dienststelle beratend einbringen. Gerade haben wir einen vierteiligen Podcast zu Datenschutzfragen im Bereich „KI und Bildung“ veröffentlicht, den Sie auf unserer Website abrufen können. Letzter Punkt: KI und Sicherheit. Mit großer Sorge beobachte ich die Diskussion um die biometrische Gesichtserkennung im öffentlichen Raum. Die Identifizierbarkeit einer Person aufgrund ihrer einzigartigen und unveränderlichen Merkmale, ihrer individuellen Gesichtszüge, ist eine hoch riskante Technik. Die seit August dieses Jahres in Kraft getretene KI-Verordnung der Europäischen Union zieht deshalb explizit rote Linien und setzt dem Einsatz biometrischer Fernidentifikation enge Grenzen. Sie tut das auf der Grundlage europäischer Werte, europäischer Grundrechte und als Gegenmodell zu totalitären Überwachungssystemen. Dass die biometrische Gesichtserkennung im öffentlichen Raum eine hoch brisante Technik ist, folgt zum einen aus ihrer Streubreite. Erfasst die Analyse eine große Zahl von Menschen und zudem solche, die dafür keinen Anlass gegeben haben, führt dies zu einem intensiven Grundrechtseingriff. Es geht dabei auch nicht nur um informationelle Selbstbestimmung, sondern auch um das Recht, sich im öffentlichen Raum anonym fortbewegen zu können. Letztlich geht es auch um die Unschuldsvermutung. Kommt man trotz dieser Bedenken zu dem Ergebnis, dass diese und weitere Techniken im Sicherheitsbereich in bestimmten Szenarien eingesetzt werden sollten, so muss dies durch den Gesetzgeber präzise bestimmt werden. Es bedarf effektiver Schutzmechanismen und effizienter Kontrolle. (Beifall der Abg. Catherine Kern GRÜNE) Meine sehr geehrten Damen und Herren Abgeordneten, ich komme zum Schluss. Der Schwerpunkt der Tätigkeiten meiner Dienststelle im Jahr 2023 war präventiv ausgerichtet. Es ging vor allem um Beratung – Beratung von Unternehmen, von Vereinen, Einzelpersonen und die Beratung des Gesetzgebers. Diesen Weg möchte ich nach Kräften und Kapazitäten auch weiter beschreiten. Im Rahmen des Möglichen, auch unter der Überschrift regulatorischen Lernens in KI-Reallaboren nach der KI-Verordnung, ist meine Dienststelle bereit, als Datenschutz-Kompetenzzentrum im Bereich KI in Baden-Württemberg Verantwortung zu übernehmen und wichtige Impulse für die Zukunftstechnologie zu setzen. Wir wollen einen verständlichen Datenschutz, der Bürgerinnen und Bürger in den Mittelpunkt rückt. Wir wollen einen ausgewogenen Datenschutz, der Zukunftstechnologien mit „Privacy by Design“ möglich macht. Wir wollen einen wirksamen Datenschutz, der europäische Werte in Zeiten von KI sichert. Essenzieller Faktor für die Akzeptanz von Technik ist Vertrauen. Vertrauen ohne Datenschutz ist einfach nicht zu machen. Vielen Dank für Ihre Aufmerksamkeit. (Beifall bei den Grünen, der CDU und der SPD so- wie Abgeordneten der FDP/DVP und der AfD) de – 105. Sitzung – Donnerstag, 10. Oktober 2024 Dr. Tobias Keber)