Datenrecht.at

In der aktuellen Debatte um den Schutz von Minderjährigen im Internet wird immer wieder gefordert, den Zugang zu Social-Media-Plattformen einzuschränken, ein generelles Mindestalter (wie kürzlich in Australien, geplant auch in Österreich, siehe Ministerratsvortrag) einzuführen oder Plattformen bei Verstößen ganz zu verbieten.

Zwei aktuelle Berichte der Wissenschaftlichen Dienste (WD) des Bundestages – Zur Beschränkung und zum Verbot von Social-Media-Plattformen (WD 7 - 3000 - 004/26) sowie zur Altersbegrenzung für soziale Netzwerke (WD 7 - 3000 - 036/25) – zeigen deutlich, dass strenge nationale Regulierungen wohl nur schwierig rechtssicher umsetzbar sind.

Die Kernargumente beider Berichte im Überblick:

• Absoluter Vorrang des EU-Rechts: Der europäische Digital Services Act (DSA) regelt digitale Vermittlungsdienste EU-weit vollharmonisiert, um einen einheitlichen Binnenmarkt zu schaffen. Nationale Alleingänge für generelle Plattform-Verbote oder starre Altersgrenzen widersprechen diesem Ansatz, da Mitgliedstaaten keine abweichenden oder ergänzenden Vorschriften im vollharmonisierten Bereich erlassen dürfen.

• Die Hürde des Herkunftslandprinzips:
  Selbst wenn Deutschland strenge Gesetze verabschieden würde, liefen diese weitgehend ins Leere. Für Diensteanbieter gilt das Herkunftsland- bzw. Sitzlandprinzip. Da die meisten großen Netzwerke (wie Meta, TikTok oder X) ihren europäischen Hauptsitz in Irland haben, unterliegen sie primär den EU-Vorgaben und irischem Recht – und nicht den deutschen Behörden.

• Sperrungen nur als “Ultima Ratio”: Der DSA sieht kein generelles, unbefristetes Verbot von Plattformen vor. Vorübergehende Zugangssperren sind nur als allerletztes Mittel zulässig, beispielsweise wenn eine andauernde Zuwiderhandlung eine Straftat darstellt, die das Leben oder die Sicherheit von Personen bedroht.

• Jugendschutz ist bereits integriert: Große Plattformen sind durch den DSA bereits EU-weit zu strukturellen Jugendschutzmaßnahmen verpflichtet, wozu auch Werkzeuge zur Altersüberprüfung gehören. Zusätzliche, abweichende Vorgaben durch deutsches Recht (wie etwa über das Jugendschutzgesetz) werden durch das EU-Recht überlagert.

• Kollision mit Grund- und Kinderrechten: Ein pauschales staatliches Verbot für jüngere Nutzer greift in das grundgesetzlich geschützte elterliche Erziehungsrecht (Art. 6 Abs. 2 GG) ein, da primär die Eltern entscheiden, welche Medieninhalte sie ihren Kindern zugänglich machen. Zudem würde ein Komplettverbot die in der UN-Kinderrechtskonvention garantierten Rechte auf Information und Teilhabe einschränken.

• Fokus auf risikobasierte Alternativen: Anstatt auf starre Verbote oder pauschale Altersgrenzen zu setzen, wird im europäischen Rechtsrahmen eher ein risikobasierter Ansatz verfolgt. Im Vordergrund stehen dabei die altersgerechte Gestaltung der Plattformen, die Reduzierung Funktionen, Medienkompetenzförderung sowie strukturelle Vorsorgemaßnahmen.

Die Berichte der Wissenschaftlichen Dienste machen klar: Wer national Social-Media-Plattformen verbieten oder strikte nationale Altersgrenzen einführen will, scheitert wahrscheinlich am EU-Recht. Der Schutz von Kindern und Jugendlichen im Netz wird wohl primär über europäische Regulierungen wie den DSA (siehe als Argumente für DSA-Verfahren 2 US-Urteile zu Big Tech und Kinderschutz) und präventive Schutzmaßnahmen auf den Plattformen selbst erfolgen (siehe zB ​vzbv-Positionspapier).

In Europa wächst die Besorgnis über einen potenziellen „Kill Switch“ aus den USA. Dieser Begriff beschreibt die Möglichkeit der US-Regierung, Europas Zugang zu US-amerikanischen Cloud-Diensten und anderen Technologien einseitig zu kappen. Obwohl ein solches Szenario als unwahrscheinlich gilt, wäre es grundsätzlich möglich - Instrumente hierfür existieren z.B. im International Emergency Economic Powers Act (IEEPA), wie der ehemalige Chief of the Cyber and National Security Unit at the White House ausführlich ausführt.

Diese Bedrohung befeuert Europas Streben nach digitaler Souveränität, dessen praktische Umsetzung u.a. in der Entwicklung „souveräner Clouds“ liegt, die vor US-Gesetzen wie dem CLOUD Act geschützt sind. Doch der Weg ist steinig: US-Hyperscaler wie Google, Microsoft und Amazon dominieren den europäischen Markt, ihre „europäischen” Angebote werden von manchen sogar als „Souveränitäts-Washing“ kritisiert. Selbst vermeintliche „Datengrenzen“ von US-Anbietern weisen nämlich z.T. wenig beachtete Ausnahmen auf, die Datenübertragungen in die USA zur Folge haben (oder auch Zugriffe aus den USA mittels CLOUD Act oder anderer Instrumentarien, siehe dazu z.B. Prof. Vladeck für die dt. DSK) und somit die Datensouveränität in Frage stellen. Zudem sind proprietäre Cloud-Systeme strukturell von Updates aus den USA abhängig, was bei einem Entzug der Unterstützung schnell zu Sicherheitslücken führen könnte. BSI-Präsidentin Plattner hält die vollständige digitale Souveränität für Deutschland derzeit für unerreichbar, betont aber die Wichtigkeit von Kontrollmechanismen. Langfristig setzt Europa auf den Aufbau eigener Alternativen, um strategische Abhängigkeiten zu mindern und einer „digitalen Scheidung“ entgegenzuwirken - siehe u.a. den Bericht „EuroStack – Eine europäische Alternative für digitale Souveränität“, der aufzeigt, wie die EuroStack-Initiative dazu beitragen kann, die Abhängigkeit Europas zu verringern.

Für besonders Interessierte empfehle ich diese Anfragebeantwortung der dt. Bundesregierung zum Thema “Digitale Souveränität und Nutzung von Open Source bei Clouds der Bundesverwaltung und der Status der Deutschen Verwaltungscloud-Strategie”.

Der volle Titel des Infobriefs vom 7. Juli 2025 lautet “Zu rechtlichen Vorgaben der Verordnung über Künstliche Intelligenz für den Einsatz von KI in Behörden der EU-Mitgliedstaaten” und geht auf rechtliche Aspekte, die für Behörden der EU-Mitgliedstaaten gemäß AI Act (KI-VO) bei der Einführung und Nutzung von KI-Anwendungen relevant sein können, ein. Zum Inhalt (Auszug aus dem Bericht):

Behandelt werden Fragestellungen im Zusammenhang mit der Anbieter- oder Betreibereigenschaft von Behörden (Ziff. 2.), Registrierungspflichten für KI-Systeme (Ziff. 3.) sowie sonstigen Dokumentations- und Transparenzpflichten (Ziff. 4., 5.). Der Infobrief geht auf die Pflichten zur Kompetenzbildung im KI-Bereich (Ziff. 6.) und auf die Frage ein, ob Organisationsstrukturen für ein Compliance-Management geschaffen werden sollten (Ziff. 7). Abschließend werden Maßnahmen dargestellt, die Behörden bei der Einführung eines generativen Allzweck-KI-Systems wie ChatGPT, Claude oder Gemini beachten sollten (Ziff. 8.).

Die deutsche Datenschutzkonferenz hat vor kurzem die aktualisierte “Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste)” in der Version 1.2 veröffentlicht.

Grundsätzlich ist gemäß § 25 Abs. 1 Satz 1 TDDDG die Speicherung von Informationen in der Endeinrichtung von Nutzenden oder der Zugriff auf solche Informationen, die bereits in der Endeinrichtung gespeichert sind, nur mit Einwilligung der Endnutzer:innen zulässig (siehe in Österreich § 165 Abs 3 TKG 2021 und diese FAQ der österreichischen Datenschutzbehörde). Die OH enthält u.a. Ausführungen zur Anforderungen an die Einwilligung vor dem Setzen von Cookies und eine Abgrenzung der Anwendungsbereiche des TDDDG [Anm: entsprechend den Vorgaben der ePrivacyRL) und der DSGVO. Die Orientierungshilfe ergänzt laut DSK die im Oktober 2024 in finaler Fassung veröffentlichten EDSA Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive. 

Das deutsche Bundeskartellamt hat am 19.6.2024 den Abschlussbericht zu seiner verbraucherrechtlichen Sektoruntersuchung „Scoring beim Online-Shopping“ veröffentlicht. Das Bundeskartellamt kommt zu dem Ergebnis, dass Online-Händler, Zahlungsdienstleister und Auskunfteien die geltenden Vorgaben des Verbraucherrechts nicht immer einhalten - dabei geht das Kartellamt auch auf damit verbundene (datenschutz-)rechtliche Themen (DSGVO, BDSG, UWG, Digital Markets Act, AI Act und EU‐Verbraucherkreditrichtlinie) sowie Online-Bonitätsprüfungen ein.

Der vollständige Bericht zur Sektoruntersuchung „Scoring beim Online-Shopping“ ist auf der Internetseite des Bundeskartellamtes abrufbar.

Seit Jahren ist ein Trend hin zur Auslagerung von IT-Services („IT-Outsourcing“) via Cloud Computing an spezialisierte Dritte (oft als Software as a Service - SaaS) festzustellen. Bei diesen Cloud-Anbietern handelt es sich meist um global agierende Unternehmen, die zwar idR allgemeine Branchenstandards der IT-Sicherheit beachten, jedoch laut den Aussagen einiger Datenschutzbehörden nicht immer (durchgängig) europäische bzw. nationale datenschutzrechtliche Anforderungen an den Datenschutz erfüllen. Hier obliegt es dem datenschutzrechtlichen Verantwortlichen, vor Vertragsabschluss sorgfältig zu prüfen, ob der gewählte Cloud-Anbieter diese Voraussetzungen wirklich mitbringt. Denn der Verantwortliche darf nur geeignete Auftragsverarbeiter einsetzen und muss nachweisen können, dass er die Grundsätze für die Verarbeitung personenbezogener Daten eingehalten hat („Rechenschaftspflicht“, Art 5 Abs 2 DSGVO). Insbesondere ist ein Vertrag über die Auftragsverarbeitung (AVV) mit dem IT-Dienstleister abzuschließen, der bestimmte Anforderungen erfüllen muss (siehe insb Art 28 Abs 3 und 4 DSGVO).

Im Fokus mehrerer Datenschutzbehörden stand und steht aktuell der Einsatz von Microsoft 365 (MS365). Jüngst hat der Europäische Datenschutzbeauftragte (EDSB) eine verbindliche Entscheidung hinsichtlich des Einsatzes von MS356 durch die Europäische Kommission erlassen. Der EDSB analysiert darin den Einsatz von MS365 durch die Europäische Kommission im Detail (EDSB 8.3.2024, Case 2021-0518, https://www.edps.europa.e … ions-use-microsoft-365_en).

Aber auch Max Schrems mit seiner Datenschutz-NGO noyb hat unlängst zwei Beschwerden hinsichtlich der Verwendung von MS365 Education in Schulen bei der österreichischen Datenschutzbehörde eingebracht (https://noyb.eu/de/micros … -blames-your-local-school).

Unter diesen Prämissen sollte die Einführung von MS365 bei Verantwortlichen auch aus Datenschutzsicht engmaschig begleitet werden, weitere Hinweise findet man u.a. bei der deutschen Datenschutzkonferenz (https://datenschutzkonfer … S365_abschlussbericht.pdf) und in einer Handreichung des Landesbeauftragten für den Datenschutz Niedersachsen (LfD) und sechs weiterer Datenschutzaufsichtsbehörden (https://www.lfd.niedersac … mit-microsoft-225722.html) - es bleibt spannend, da der LfD Niedersachsen die Einführung von Microsoft Teams in der Landesverwaltung Niedersachsen, mit Blick auf die Ausgestaltung der Auftragsverarbeitungsvereinbarung, für akzeptabel hält (https://www.lfd.niedersac … niedersachsen-231856.html).