Datenschützer legt sich mit Bundespresseamt an

Der Chef der unabhängigen Bonner Datenschutzaufsicht, Ulrich Kelber, will der Bundesregierung eine Facebook-Fastenkur verordnen. Setzt sich Kelber durch, müssen die Social-Media-Strategen und Beratungsagenturen sämtlicher Ministerien schleunigst umdenken. Die Bundesregierung spielt auf Zeit – und gibt trotz womöglich geringer Erfolgsaussichten Geld für juristischen Beistand aus.

Die Wortwahl war hart und juristisch abgestützt: Gleich mehrfach wirft Kelber, früher SPD-Bundestagsabgeordneter und seit 2019 Bundesdatenschutzbeauftragter, dem Bundespresseamt Fahrlässigkeit vor. Der Hintergrund: Die Bundesregierung soll Social-Media-Anbietern nicht länger Inhalte und damit Nutzerdaten liefern, die sich nicht an die Datenschutz-Grundverordnung der EU halten.

Das sind in den meisten Fällen jene Unternehmen, die ihren Hauptsitz außerhalb der EU haben – wie eben der Facebook-Mutterkonzern Meta, zu dem auch Instagram und WhatsApp gehören. Aber auch Google, Apple und Microsoft gelten bei den Datenschützern potenziell als Datenverarbeiter ohne ausreichende Rechtsgrundlage. Diesen Anbietern fehlt es nach Ansicht der Datenschützer regelmäßig an einer Grundvoraussetzung: dem angemessenen Schutz der Daten von EU-Bürgern in den USA. Seit Jahren wird darum gestritten. Zweimal hat der Europäische Gerichtshof den Vereinigten Staaten bereits ein zu schlechtes Datenschutzniveau attestiert, ein dritter Anlauf wird derzeit unternommen.

Auch deshalb hat Kelber bereits 2021 eine Art Musterverfahren begonnen : Er beanstandete nicht alle Facebook- oder Instagram-Auftritte zugleich, sondern gezielt die Facebook-Seite „Bundesregierung”. Die wird vom Bundespresseamt betrieben, das für Kanzleramt und Informationen der Bundesregierung insgesamt die Verantwortung trägt. Kelbers Argument: Die Bundesregierung wisse, dass das nach geltendem Datenschutzrecht unzulässig sei und dass Facebook unzulässig Daten von Nutzern erhebe und verarbeite.

Zwei Jahre stritten das BPA, geleitet von Regierungssprecher Steffen Hebestreit, und die Bonner Behörde. Auch Facebook äußerte sich in dem Verfahren – doch änderte an seiner Technologie nichts, was den BfDI hätte umstimmen können. Das BPA wollte trotzdem an seiner Praxis festhalten: „Der Facebook-Auftritt ist ein wichtiger Bestandteil der Öffentlichkeitsarbeit der Bundesregierung“, sagte eine Sprecherin. „ Die Sozialen Medien ermöglichen einen unmittelbaren und schnellen Kontakt mit den Bürgerinnen und Bürger, der gerade in Krisenzeiten besonders wichtig ist, nicht zuletzt auch um Desinformation entgegenzuwirken – da, wo sie entsteht.“

Ein guter Grund, findet auch Datenschützer Kelber: Es sei wichtig, dass der Staat auch diese Kommunikationsformen nutze: „Das darf er aber nur, wenn die Grundrechte der Bürgerinnen und Bürger gewahrt bleiben.“ Entweder die Anbieter würden sich datenschutzkonform verhalten oder die Bundesverwaltung müsse entsprechende Plattformen verlassen.

Sollte Kelber juristisch obsiegen und die Facebook-Nutzung untersagt werden, stehen auch weitere Angebote vor dem Aus. Nach Ansicht von Datenschutzbehörden sind weder die Meta-Angebote Facebook und Instagram, Twitter, TikTok oder Google in der Lage, eine rechtskonforme Datenverarbeitung zu garantieren. Wären all diese Plattformen für den Bund tabu, würden ihm reichweitenstarke Möglichkeiten zur Kommunikation fehlen.

Eine relativ sichere Alternative stünde immerhin zur Verfügung: Ausgerechnet der Bundesdatenschutzbeauftragte bietet öffentlichen Stellen eine eigene Mastodon-Instanz unter dem Namen social.bund.de. Dort präsentieren sich Bundesbehörden bereits öffentlich, ohne dass die Betreiber Daten zu gewerblichen Zwecken nutzen. Allerdings erzielt Mastodon trotz gestiegener Nutzerzahlen nicht die gleiche Reichweite wie kommerzielle Plattformen.

Das Bundespresseamt prüft jetzt den Bescheid, den Kelber auch auf der BfDI-Website veröffentlichte. Innerhalb von vier Wochen muss sich das Bundespresseamt entscheiden, ob es der Aufforderung zur Einstellung der Seite Folge leistet.

Doch danach sieht es derzeit nicht aus. Das BPA spielt vielmehr auf Zeit. Wenn das Amt Kelbers Anordnung nicht nachkommt, muss dieser den Bescheid per Gerichtsbeschluss durchsetzen. Denn anders als bei Privatunternehmen können im Datenschutzrecht keine Bußgelder und Strafen gegen öffentliche Stellen verhängt werden. In dem Verfahren gehe es „ um die Klärung grundsätzlicher, komplexer Sach- und Rechtsfragen zum europäischen Datenschutzrecht, die im Ergebnis jeden Betreiber einer Facebook-Seite in der EU betreffen können: nicht nur staatliche Stellen, sondern auch private Unternehmen“, erklärt das Hebestreit-Amt auf Nachfrage. „Das Bundespresseamt wird sich an diesem Klärungsprozess beteiligen.“ Ist das die Ankündigung eines langwierigen und teuren Gerichtsverfahrens?

Die Verantwortung ist schon seit Jahren geklärt: Seitenbetreiber und Anbieter sind gemeinsam verantwortlich. Die schleswig-holsteinische Datenschutzaufsicht hatte ab 2011 erst mehrfach vor deutschen Gerichten verloren, vor dem Europäischen Gerichtshof aber vor fünf Jahren gewonnen. „Der Umstand, dass ein Betreiber einer Fanpage die von Facebook eingerichtete Plattform nutzt, um die dazugehörigen Dienstleistungen in Anspruch zu nehmen, kann diesen nämlich nicht von der Beachtung seiner Verpflichtungen im Bereich des Schutzes personenbezogener Daten befreien “, hieß es höchstrichterlich 2018 – wenige Tage, nachdem die Datenschutzgrundverordnung ihre volle Wirkung entfaltete.

Die Chancen für die Bundesregierung dürften also nicht besonders gut sein – und doch gibt sie Geld aus, um den Facebook-Auftritt weiterzubetreiben. Obwohl es in der Bundesregierung weder an Datenschutzexpertise (im BMI, im BMDV und im BMJ gibt es jeweils ein Datenschutzreferat) noch an Juristen mangelt, bedient sich Hebestreits Amt externer Rechtsberatung: Das Verfahren betreffe „weitreichende, grundsätzliche sowie komplexe Sach- und Rechtsfragen zum europäischen Datenschutzrecht“, teilte ein Sprecher auf Nachfrage mit. Das Bundespresseamt beauftragte die Kanzlei Redeker Sellner Dahs. Die Höhe der bisher angefallenen Kosten will das BPA nicht mitteilen und beruft sich dabei auf das Recht auf Vertraulichkeit der Mandatsbeziehung und der Geschäftsgeheimnisse Dritter. Von Falk Steiner