Ab Freitag greift der „Digital Services Act“ der EU. Er ist Teil eines wachsenden Dickichts aus EU-Verordnungen, national umzusetzenden Richtlinien und Leitlinien, das der EU-Kommission immer mehr Macht gibt. Je weniger Menschen das Ganze durchblicken, desto besser für die grauen Eminenzen.

Ab dem 25. August dieses Jahres greift das EU-Gesetz über digitale Dienste (Digital Services Act, kurz: DSA) für Internetplattformen wie Facebook, Twitter oder Google, das einerseits mehr Schutz für Nutzer bieten soll, andererseits aber im Falle von Krisen, „die zu einer ernsthaften Bedrohung der öffentlichen Sicherheit oder der öffentlichen Gesundheit in der Union oder in wesentlichen Teilen der Union führen können“, die Meinungsfreiheit massiv einschränken könnte, wie Kritiker befürchten.

Doch dieses Gesetz kommt nicht allein. Vielmehr gibt es auf EU-Ebene mittlerweile eine ganze Reihe von Regelwerken, die digitale Daten betreffen. Darunter fallen etwa der Datenschutzrahmen EU-USA, das Europäische Reise-Informations- und -Genehmigungssystem ETIAS, die EU-Brieftasche für digitale Identität (EUDI), das Datengesetz und der Daten-Governance-Rechtsakt im Rahmen der europäischen Datenstrategie sowie das Gesetz über digitale Märkte. Die EU-Kommission fasst ihre Digitalisierungsaktivitäten zusammen unter dem Motto: „Ein Europa für das digitale Zeitalter. Eine neue Generation von Technologien für die Menschen.“

Ob tatsächlich „die Menschen“ im Mittelpunkt der EU-Ambitionen stehen oder doch eher ökonomische Interessenträger, sei dahingestellt. So ist die EU-Kommission beispielsweise seit Monaten damit beschäftigt, dem „Inflation Reduction Act“ (IRA) der USA etwas entgegenzusetzen: Mit dem am 16. August 2022 verabschiedeten Gesetzeswerk fördert die Regierung von US-Präsident Joe Biden grüne Investitionen in den Vereinigten Staaten mit insgesamt etwa 370 Milliarden Dollar. Am ersten Geburtstag des IRA feierte Biden nun dessen großen Erfolg für die US-Wirtschaft. Neben umfangreichen Subventionen beinhaltet der IRA allerdings auch protektionistische Elemente, durch die Anreize für Unternehmen geschaffen werden, ihre Produktion in die USA oder in Länder mit US-Freihandelsabkommen wie Kanada und Mexiko zu verlagern. Nach einer Umfrage der deutschen Industrie- und Handelskammer plant bereits jedes zehnte deutsche Unternehmen Produktionsverlagerungen, zumal die hohen Energiepreise hierzulande einen Standortnachteil darstellen.

„Ökologischen Wandel fördern“

Statt auf einen Subventionswettbewerb mit den USA oder auf eine Klage bei der Welthandelsorganisation setzt die EU nun auf verbesserte Kooperation. Auch bei der dritten Tagung des EU-US-Handels- und Technologierates im Dezember 2022 wurde die durch den „Inflation Reduction Act“ hervorgerufene Verstimmung zwischen der EU und den USA thematisiert. Der Rat wurde 2021 in Brüssel als Forum eingerichtet, um die transatlantischen Handels-, Technologie- und Wirtschaftsbeziehungen „auf der Grundlage demokratischer Werte“ zu vertiefen. Zwar bekräftigte die EU bei dieser Tagung ihre Bedenken bezüglich des „Inflation Reduction Act“, doch der partnerschaftliche Ansatz stand letztlich im Vordergrund. In der entsprechenden Pressemitteilung der EU-Kommission vom 6. Dezember 2022 wird betont:

„Auf beiden Seiten des Atlantiks wird in Bezug auf neu entstehende Technologien derselbe Ansatz verfolgt. Man verständigte sich auf einen gemeinsamen Fahrplan zur Entwicklung gemeinsamer Instrumente und Standards für vertrauenswürdige künstliche Intelligenz (KI). Beide Parteien werden gemeinsame Standards für kritische Bereiche ausarbeiten, wie die Post-Quanten-Verschlüsselung und die Cybersicherheit im Bereich des Internets der Dinge (IoT). Die EU und die USA planen ferner, durch die Zusammenarbeit bei Quantenforschung und -entwicklung den Handel zu fördern und Hindernisse für den transatlantischen Austausch zu beseitigen. Damit sich Elektrofahrzeuge rascher am Markt etablieren, werden die USA und die EU eine gemeinsame internationale Norm für Megawatt-Ladesysteme für schwere Nutzfahrzeuge ausarbeiten, die bis 2024 angenommen werden soll. Die EU und die USA beabsichtigen ferner, im Jahr 2023 Empfehlungen für die öffentliche Ladeinfrastruktur für Elektromobilität vorzulegen.“

Weiter wird hervorgehoben:

„Beide Parteien haben vereinbart, bei der Bündelung digitaler Ressourcen wie KI-Modellen und Rechenleistung zusammenzuarbeiten, um die wichtigsten Herausforderungen in den Bereichen des Klimawandels und der Vorhersage extremer Wetterereignisse, der Gesundheit oder der intelligenten Landwirtschaft anzugehen, und diese öffentlichen Güter den Partnerländern zur Verfügung zu stellen.“

Während seiner vierten Tagung am 30. und 31. Mai 2023 verabschiedete der Handels- und Technologierat dann mehrere Vereinbarungen. Unter anderem wurde bekannt gegeben: „Die EU und die USA haben sich auf ein Arbeitsprogramm für die Transatlantische Initiative für nachhaltigen Handel geeinigt, um den ökologischen Wandel gemeinsam optimal fördern zu können. Der neu eingerichtete Dialog über Anreize für saubere Energie wird dazu beitragen, dass sich die Anreizprogramme der EU und der USA für eine saubere Wirtschaft gegenseitig verstärken.“

Abkehr von der Marktwirtschaft

Außerdem verabschiedete die EU-Kommission im Februar dieses Jahres ihren „Green Deal Industrial Plan for the Net-Zero Age“, um die Wettbewerbsfähigkeit der europäischen grünen Industrie zu verbessern und den schnellen Wandel zur Klimaneutralität zu unterstützen. Die Umsetzung des Plans würde allerdings nichts weniger als die Abkehr von der Marktwirtschaft hin zu umfassender staatlicher Lenkung bedeuten, wie Kritiker warnen. Am 10. Juli 2023 nahm die EU-Kommission darüber hinaus einen Angemessenheitsbeschluss für den Datenschutzrahmen EU-USA („EU-US-Data Privacy Framework“) an. Darin wurde festgestellt, dass die Vereinigten Staaten im transatlantischen Datenverkehr ein angemessenes Schutzniveau für personenbezogene Daten gewährleisten, die innerhalb des neuen Rahmens aus der EU an US-Unternehmen übermittelt werden.

Hintergrund ist, dass seit einer EU-Richtlinie von 1995 personenbezogene Daten in der Regel nur dann in Länder außerhalb der EU weitergegeben werden dürfen, wenn im Zielland ein „im Wesentlichen gleichwertiger“ Schutz besteht. Kommissionspräsidentin Ursula von der Leyen erklärte dazu: 

„Der neue Datenschutzrahmen EU-USA wird einen sicheren Datenverkehr für die Europäerinnen und Europäer gewährleisten und den Unternehmen auf beiden Seiten des Atlantiks Rechtssicherheit bieten. Nach der grundsätzlichen Einigung, die ich im vergangenen Jahr mit Präsident Biden erzielt habe, haben die USA beispiellose Zusagen zur Schaffung des neuen Rahmens gemacht. Heute kommen wir einen wichtigen Schritt dabei voran, den Bürgerinnen und Bürgern Vertrauen in die Sicherheit ihrer Daten zu geben, unsere wirtschaftlichen Beziehungen zwischen der EU und den USA zu vertiefen und gleichzeitig unsere gemeinsamen Werte zu stärken. Der Rahmen zeigt, dass wir durch Zusammenarbeit die komplexesten Fragen angehen können.“

Noch im April dieses Jahres hatte jedoch der Ausschuss des EU-Parlaments für bürgerliche Freiheiten, Justiz und Inneres (LIBE) dem neuen EU-US-Datenschutzrahmen zum Datentransfer zwischen den USA und der EU eine Absage erteilt, da das Schutzniveau der USA für personenbezogene Daten dem der Europäischen Union eben nicht gleichkomme. Der Ausschuss riet vom Erlass eines entsprechenden Angemessenheitsbeschlusses durch die EU-Kommission ab und rief zur Wiederaufnahme der Verhandlungen mit den USA auf. Und auch der Europäische Gerichtshof hatte bereits zweimal vorherige Versuche eines Abkommens abgeschmettert.

Nun also konnte die EU- Kommission am 10. Juli endlich einen Angemessenheitsbeschluss für den neuen EU-US-Data Privacy Framework durchsetzen. Der Beschluss ermöglicht die direkte Übermittlung von personenbezogenen Daten aus der EU in die USA an solche Unternehmen, die an diesem neuen Datenschutzrahmen teilnehmen und entsprechend zertifiziert sind. Dabei beruht die Zertifizierung allerdings auf einer entsprechenden Selbstverpflichtung der Unternehmen. Immerhin gibt es für EU-Bürger Rechtsschutzmöglichkeiten im Falle von ungerechtfertigtem Zugriff auf ihre Daten durch US-Nachrichtendienste. Dazu wurde unter anderem das neue Datenschutzgericht „Data Protection Review Court“ (DPRC) eingerichtet.

„Wachsende Menge an Industriedaten nutzen“

Die Nichtregierungsorganisation (NGO) „noyb“ hat derweil allerdings schon angekündigt, dass sie auch das neue Abkommen dem Europäischen Gerichtshof (EuGH) vorlegen werde, da EU-Bürger nach wie vor nicht die gleichen Rechte wie US-Bürger hätten und beispielsweise ausschließlich US-Bürger nicht anlasslos überwacht werden dürften. Auf der anderen Seite führt die EU gerade neue Einreiseregeln auch für US-Bürger ein, die sich, wenn sie in Länder der EU reisen wollen, ab Januar 2024 vorher online anmelden und dafür ungefähr acht Dollar zahlen müssen. Durch diese Bestimmung will die EU vordergründig die Sicherheit an den Außengrenzen verbessern und illegale Einwanderung verhindern. Die Bestimmung ist allerdings auch Teil des Europäischen Reise-Informations- und -Genehmigungssystem ETIAS, mit dem die EU derzeit eine Mega-Datenbank und eine Daten-Suchmaschine anlegt. Neben Daten wie dem Geburtsdatum und der Adresse müssen Reisende zukünftig beispielsweise Angaben zum Bildungsabschluss, zum Beruf und zu früheren Reisezielen machen.

In den vergangenen drei Jahren hat die EU-Kommission zudem eine umfassende europäische Datenstrategie entwickelt, die erklärtermaßen darauf abzielt, einen Binnenmarkt für Daten zu schaffen, der die globale Wettbewerbsfähigkeit und Datensouveränität Europas gewährleistet. Die entsprechende initiale Mitteilung der EU-Kommission wurde am 19. Februar 2020 veröffentlicht. Durch die Strategie solle die Führungsrolle der EU in der globalen Datenwirtschaft gesichert werden. Wörtlich heißt es: „Die EU kann zu einem Vorbild für eine Gesellschaft werden, die dank Daten in der Lage ist, in der Wirtschaft wie im öffentlichen Sektor bessere Entscheidungen zu treffen.“

Die Strategie konzentriere sich darauf, „Menschen an erster Stelle bei der Entwicklung von Technologien zu setzen und europäische Werte und Rechte in der digitalen Welt zu verteidigen und zu fördern“. Gemeinsame europäische Datenräume sollen dafür sorgen, dass „mehr Daten für Wirtschaft und Gesellschaft zur Verfügung stehen und gleichzeitig die Unternehmen und Einzelpersonen, die die Daten generieren, kontrolliert werden“. Damit könne beispielsweise auch die Gesundheitsversorgung verbessert werden. Ein „wichtiger Pfeiler“ der Datenstrategie ist das Datengesetz („Data Act“). Sein Hauptziel besteht nach Angaben der EU-Kommission darin, Europa zu einem Vorreiter in der Verwertung digitaler Daten zu machen, indem „das Potenzial der ständig wachsenden Menge an Industriedaten genutzt wird, um der europäischen Wirtschaft und Gesellschaft zugute zu kommen“.

Zusammenarbeit von Behörden und Privatwirtschaft

Am 28. Juni dieses Jahres erklärte die EU-Kommission, dass das Datengesetz Hindernisse für den Zugang zu Daten ausräumen soll etwa beim Wechsel zwischen Cloud- und Edge-Diensten und bei der Zusammenführung von Daten aus verschiedenen Sektoren. Dies werde sowohl Unternehmen als auch Behörden zugute kommen und gleichzeitig Anreize für Investitionen in die Datenerzeugung schaffen, indem gewährleistet wird, dass die Datenproduzenten „eine angemessene Kontrolle über ihre Daten“ behalten. Beispielsweise könnten Fabriken, landwirtschaftliche Betriebe und Bauunternehmen anhand von Daten und mittels maschinellen Lernens die Steuerung von Betriebszyklen, Produktionslinien und Lieferketten optimieren.

Was von der EU-Kommission als durchweg positiv verkauft wird, hat allerdings bei genauerem Hinsehen durchaus seine Haken. So heißt es weiter:

„Das Datengesetz sieht vor, dass in Ausnahmesituationen von großem öffentlichem Belang wie etwa bei Überschwemmungen oder Waldbränden der Zugang zu Daten privater Unternehmen möglich ist. Gegenwärtig verfügen die Behörden, wenn überhaupt, nur über wenige wirksame Mittel für den Zugriff auf Daten bei öffentlichen Notlagen. Die neuen Vorschriften sehen eine Verpflichtung für Unternehmen zur Bereitstellung bestimmter Daten vor.“

Die Daten, die zur Bewältigung eines öffentlichen Notstands benötigt würden, müssten von den Unternehmen außerdem kostenlos bereitgestellt werden. Beispielsweise hätten anonymisierte Standortdaten von Mobilfunknetzbetreibern während der COVID-19-Pandemie wesentlich dazu beigetragen, die Korrelation zwischen Mobilität und der Ausbreitung des Virus zu analysieren sowie Daten für Frühwarnsysteme bereitzustellen und geeignete Maßnahmen zur Bewältigung der Krise zu ergreifen. Fragt sich jedoch, inwieweit Standortdaten tatsächlich ausschließlich anonymisiert weitergegeben werden und ob die gesetzlich verpflichtete Zusammenarbeit von staatlichen Behörden und Privatwirtschaft bei ausgerufenen Krisensituationen im Sinne der Bürger ausfallen würde.

„Daten zum Wohle der Gesellschaft zur Verfügung stellen“

Neben dem Datengesetz spielt der Daten-Governance-Rechtsakt im Rahmen der europäischen Datenstrategie eine wichtige Rolle: Während mit dem Datengesetz geregelt wird, wer aus Daten Wert schöpfen darf und unter welchen Bedingungen dies möglich ist, sind mit dem Daten-Governance-Rechtsakt Verfahren und Strukturen geschaffen worden, die die gemeinsame Datennutzung von Unternehmen, Einzelpersonen und der öffentlichen Hand vereinfachen. Außerdem sollen das Vertrauen in den Datenaustausch sowie die Datenverfügbarkeit gestärkt und technische Hindernisse für die Weiterverwendung von Daten überwunden werden. Der Rechtsakt soll ab September 2023 gelten und die Einrichtung und Entwicklung „gemeinsamer europäischer Datenräume in strategischen Bereichen“ unterstützen, die sowohl private als auch öffentliche Akteure aus den Themenfeldern Gesundheit, Umwelt, Energie, Landwirtschaft, Mobilität, Finanzen, verarbeitende Industrie und Verwaltung einbeziehen.

Es sollen Maßnahmen getroffen werden, die es Bürgern und Unternehmen erleichtern, „ihre Daten zum Wohle der Gesellschaft zur Verfügung zu stellen“. Beispielsweise sollen durch die Bereitstellung von Gesundheitsdaten personalisierte Behandlungen angeboten werden können. Die EU verspricht sich dabei Einsparungen von etwa 120 Milliarden Euro pro Jahr im EU-Gesundheitssektor. Auch durch den Zugriff auf Mobilitätsdaten könnten pro Jahr mehr als 27 Millionen Stunden Zeit für öffentliche Verkehrsmittel und bis zu 20 Milliarden Euro an Arbeitskosten von Autofahrern dank Echtzeitnavigation eingespart werden. Umweltdaten könnten bei der Bekämpfung des Klimawandels und der Verringerung der CO₂-Emissionen helfen, und landwirtschaftliche Daten könnten die Entwicklung der Präzisionslandwirtschaft sowie neuer Produkte im Agrar- und Lebensmittelsektor unterstützen. Zur EU-Datenstrategie gehört weiterhin die Investition von 2 Milliarden Euro in ein europäisches Projekt zum Ausbau des Datenaustauschs etwa durch „energieeffiziente und vertrauenswürdige Cloud-Infrastrukturen und damit verbundene Dienste“.

Die Datenstrategie bezieht sich insgesamt auf die Schaffung von neun verschiedenen Datenräumen wie dem gemeinsamen europäischen Industriedatenraum, den gemeinsamen europäischen Datenraum für den europäischen Grünen Deal zur Bekämpfung des Klimawandels, den Mobilitätsdatenraum für die Entwicklung eines intelligenten Verkehrssystems, den Gesundheitsdatenraum, den Finanzdatenraum, den Energiedatenraum, den Agrardatenraum sowie Datenräume für die öffentliche Verwaltung und Regierungshandeln. Im Projekt „Destination Earth“ („Ziel Erde“) soll beispielsweise ein digitaler Zwilling der Erde entstehen.

Am 27. Januar 2021 beschloss dann die Bundesregierung ihre nationale Datenstrategie mit rund 240 Maßnahmen, mit der sie wiederum „zum Vorreiter für das innovative Nutzen und Teilen von Daten in Europa“ werden wollte. Die europäische Datenstrategie wurde übrigens gleichzeitig mit der Mitteilung der Kommission zur „Gestaltung der digitalen Zukunft Europas“ und einem Weißbuch über künstliche Intelligenz vorgelegt, in dem die Kommission aufzeigt, wie sie die Entwicklung und Nutzung künstlicher Intelligenz in der gesamten EU unterstützen und fördern will. Für 2025 rechnet die EU-Kommission mit einer weltweiten Zunahme des Datenvolumens um 530 Prozent seit 2018. Den Wert der Datenwirtschaft (EU27) schätzt sie auf 829 Milliarden Euro, wobei im übernächsten Jahr 10,9 Millionen Datenfachkräfte beschäftigt sein sollen. Gleichzeitig werde der globale Markt für virtuelle Welten von 27 Milliarden Euro im Jahr 2022 bis 2030 auf über 800 Milliarden Euro steigen.

Virtuelle Welten, auch Metaversen genannt, sollen eine neue Art von Internet bieten, in dem es möglich ist, Freunde zu treffen, zu studieren und zu arbeiten oder sogar mit seinen Lieblingskünstlern gemeinsam zu singen. Nutzer könnten beispielsweise auch in virtuelle Museen, Galerien und Archive eintauchen, in der sie das Gefühl hätten, eine echte Ausstellung anzusehen. Am 11. Juli dieses Jahres hat die Kommission schließlich eine neue Strategie zu Web 4.0 und virtuellen Welten angenommen, um „den nächsten technologischen Wandel zu steuern und ein offenes, sicheres, vertrauenswürdiges, faires und inklusives digitales Umfeld für die Bürgerinnen und Bürger, Unternehmen und öffentlichen Verwaltungen der EU zu gewährleisten“. Vor allem aber will die EU mit ihrer Digitalstategie dafür sorgen, dass die „Klimaneutralität“ Europas bis 2050 erreicht wird.

„Datenaltruistische Organisationen“

Im Rahmen dieser Digitalstrategie ist bezeichnenderweise auch von einem „Digitalisierungsbooster“ in Höhe von 250 Milliarden Euro aus dem Corona-Aufbauplan „NextGenerationEU“ die Rede. Als weiteres Ziel bis 2030 wird genannt, dass 80 Prozent der EU-Bevölkerung digitale Grundkenntnisse erworben haben sollen. Selbstverständlich überwacht die EU-Kommission auch die Fortschritte bei der Verwirklichung der Ziele der sogenannten digitalen Dekade für 2030. Nach dem Sommer will die EU-Kommission ihren ersten Bericht über den Stand der digitalen Dekade veröffentlichen. Bis zum 9. Oktober dieses Jahres sollen die Mitgliedstaaten dann ihre nationalen Fahrpläne für die „gemeinsamen Anstrengungen der EU zur Verwirklichung der Ziele und Vorgaben bis 2030“ annehmen. Dazu hat die Kommission am 30. Juni Leitlinien vorgelegt, die auf dem EU-Beschluss über das „Politikprogramm 2030 für die digitale Dekade“ vom 19. Dezember 2022 beruhen und in denen festgehalten ist, dass die nationalen Fahrpläne in das Europäische Semester einfließen sollen, das wiederum der jährlichen Koordinierung der Wirtschafts-, Haushalts-, Beschäftigungs- und Sozialpolitik in der Europäischen Union dient. Zu den nationalen Maßnahmen sollen beispielsweise Investitionen in die Digitalisierung von kleinen und mittleren Unternehmen (KMU) gehören.

Am 9. August dieses Jahres teilte die EU-Kommission mit, dass sie als Teil der Umsetzung des Daten-Governance-Gesetzes Logos eingeführt hat, damit „in der EU anerkannte Anbieter von Datenvermittlungsdiensten und datenaltruistische Organisationen“ leicht identifiziert werden können. Diesen Logos muss ein QR-Code mit einem Link zum öffentlichen EU-Register der „datenaltruistischen Organisationen“ beigefügt werden. Das Register wird ab dem 24. September 2023 zur Verfügung stehen. QR-Codes spielen auch bei anderen Diensten und Dokumenten eine Rolle.

Die Verordnung über elektronische Identifizierung und Vertrauensdienste für elektronische Transaktionen im Binnenmarkt (eIDAS-Verordnung) reguliert beispielsweise „vertrauenswürdige digitale Identitäten“, wodurch es der EU gelungen sei, die „richtigen Grundlagen und einen klaren Rechtsrahmen für Menschen, Unternehmen und öffentliche Verwaltungen für den sicheren Zugang zu Diensten und die Durchführung von Transaktionen online mit nur einem Klick zu schaffen“. Dabei sind die Mitgliedstaaten verpflichtet, „Vertrauenslisten qualifizierter Vertrauensdiensteanbieter und der von ihnen erbrachten Dienste zu erstellen, zu pflegen und zu veröffentlichen“.

„Ökosystem der EU für digitale Identität“

Die eIDAS-Expertengruppe entwickelte aber auch in enger Kooperation mit der EU-Kommission Vorschläge zur EUDI-Brieftasche („European Digital Identity Wallet“), die auf dem Smartphone der Nutzer installiert sein soll. Diese digitale „Brieftasche“ soll erforderliche Daten etwa für die Bereiche Reisen, Gesundheit, Banken und Bildung bündeln. Alle in der EU lebenden Menschen sollen bis 2030 Zugang zu einer „sicheren und benutzerfreundlichen“ elektronischen Identifizierung haben, und jedem EU-Bürger soll von den Mitgliedstaaten Zugang zu einer EUDI-Brieftasche auf einem Mobiltelefon oder einem anderen digitalen Gerät gewährt werden. Die erste Version des EUDI-Brieftasche-Instrumentariums wurde am 10. Februar dieses Jahres veröffentlicht, und am 30. Juni begrüßte die EU-Kommission die vorläufige politische Einigung über die EU-Brieftasche für digitale Identität: Europas „erste vertrauenswürdige und sichere digitale Identitäts-App“. 

Das Bundesministerium des Innern und für Heimat (BMI) führt gerade einen Konsultationsprozess „mit Vertreterinnen und Vertretern von Verbänden, zivilgesellschaftlichen Organisationen, Unternehmen, Expertinnen und Experten aus der Wissenschaft wie auch Partnerinnen und Partnern aus Staat und Verwaltung“ durch mit dem Ziel, bis November 2023 ein Konzept für eine prototypische Wallet zu erstellen. Am 7. Juni dieses Jahres wurde das der Konsultation zugrundeliegende „Diskussionspapier zur Erarbeitung einer prototypischen eIDAS 2.0-konformen Infrastruktur für Digitale Identitäten in Deutschland“ veröffentlicht.

Und auf EU-Ebene werden gerade vier Pilotprojekte durchgeführt, an denen mehr als 250 private und öffentliche Organisationen aus fast allen Mitgliedstaaten sowie aus Norwegen, Island und der Ukraine beteiligt sind und die eine Laufzeit von mindestens zwei Jahren haben. 90 Millionen Euro fließen in dieses „Ökosystem der EU für digitale Identität“, das zu 50 Prozent von der EU-Kommission kofinanziert wird. Im September soll die erste vollständige Fassung der gemeinsamen EU-Toolbox zur Umsetzung der EU-Brieftasche für digitale Identität zur Verfügung gestellt werden. Und ab dem 1. Januar 2024 sollen Krankenkassen ihren Versicherten auf Wunsch eine digitale Identität in Form einer GesundheitsID anbieten. Allerdings sollen die Gesundheitsdaten der elektronischen Patientenakten nicht etwa auf Servern der gesetzlichen Krankenversicherungen gespeichert werden, sondern auf den Servern von Privatunternehmen, die von den Krankenversicherungen damit beauftragt werden und den europäischen Datenschutzbestimmungen unterliegen. Darüber hinaus sollen die anonymisierten Patientendaten der Pharmaforschung in Deutschland zur Verfügung gestellt werden.

„Europas technologische Führungsrolle“

Damit die Digitalisierung überhaupt technisch funktioniert, hat die EU-Kommission außerdem ein „Chip-Gesetz“ vorgeschlagen, mit dem sie „Europas Wettbewerbsfähigkeit und Resilienz in puncto Halbleitertechnologien und -anwendungen stärken und so zur Verwirklichung des digitalen und ökologischen Wandels beitragen“ will. Auch hier soll „Europas technologische Führungsrolle“ ausgebaut werden. Das soll vor allem durch öffentliche und private Investitionen in Höhe von mehr als 15 Milliarden Euro in Programme und Maßnahmen für Forschung und Innovation auf dem Gebiet der Halbleitertechnik wie etwa in das Programm Horizont Europa erreicht werden. Politikgesteuerte Investitionen im Umfang von insgesamt über 43 Milliarden Euro sollen das Chip-Gesetz bis 2030 flankieren, und langfristige private Investitionen in ähnlicher Höhe sollen hinzukommen.

Während die EU-Kommission zwar einerseits dafür sorgt, dass Unternehmen in Europa und in den USA leichteren Zugang zu Daten erhalten, will sie andererseits mit dem Gesetz über digitale Dienste (Digital Services Act, kurz: DSA) Online-Plattformen kontrollieren, von denen die meisten ihren Sitz in den USA haben. So entbehrt es nicht einer gewissen Ironie, wenn sich die Faktenchecker von „Correctiv“ darüber freuen, dass die EU „den reichen und mächtigen US-Plattformen etwas entgegensetzen“ will und mit dem Digital Services Act an „einer Art digitalem Grundgesetz“ gebastelt hat. Auch Barack Obama lobte das Gesetzeswerk der EU, mit dem Nutzer besser „vor schädlichen Inhalten und Falschmeldungen geschützt werden“ sollen.

Der DSA ist am 16. November 2022 in Kraft getreten, gilt aber erst ab dem 17. Februar 2024. Die großen Plattformen wie Amazon, Wikipedia, Facebook, Instagram, YouTube, Twitter, TikTok oder Google, die eine Nutzerzahl von mindestens 10 Prozent der europäischen Bevölkerung ‒ also 45 von 450 Millionen Menschen ‒ aufweisen, müssen allerdings schon ab dem 25. August dieses Jahres die EU-Auflagen erfüllen. Dazu müssen sie eine detaillierte Bewertung ihrer größten Nutzerrisiken wie der Verbreitung von Desinformation vorlegen und beispielsweise „Hate Speech“ und „Fake News“ eindämmen. Bei Verstößen erhält die EU die Möglichkeit, bis zu sechs Prozent des weltweiten Jahresumsatzes eines Unternehmens als Strafzahlung einzuziehen. Deswegen ist davon auszugehen, dass die Plattformen im Zweifel einen Inhalt eher löschen, als eine Strafzahlung zu riskieren. Zwar kann gegen Löschungen Beschwerde eingelegt werden, doch deren Bearbeitung erfordert Zeit, sodass beispielsweise eine politische Meinung vor einer Wahl unterdrückt werden kann und die entsprechende Beschwerde erst nach erfolgter Wahl bearbeitet wird.

EU-Zugriff auf große Plattformen

Brisant ist außerdem, dass die EU-Kommission diese sehr großen Plattformen selbst überwacht, während für kleinere Plattformen die einzelnen Staaten eine Beschwerdestellen einrichten sollen. Vor allem aber erhält die EU-Kommission mit dem Digital Services Act die Möglichkeit, im Fall einer Krise, die eine Gefahr für die öffentliche Sicherheit oder die menschliche Gesundheit darstellt, einen Notstand auszurufen und dadurch Zugriff auf große Plattformen zu erhalten. Wörtlich heißt es in der Verordnung vom 27. Oktober 2022:

„In Krisenzeiten kann es erforderlich sein, dass Anbieter sehr großer Online-Plattformen zusätzlich zu den Maßnahmen, die sie im Hinblick auf ihre sonstigen Verpflichtungen aus dieser Verordnung ergreifen würden, dringend bestimmte spezifische Maßnahmen ergreifen. In diesem Zusammenhang sollte davon ausgegangen werden, dass eine Krise eintritt, wenn außergewöhnliche Umstände eintreten, die zu einer ernsthaften Bedrohung der öffentlichen Sicherheit oder der öffentlichen Gesundheit in der Union oder in wesentlichen Teilen der Union führen können. Solche Krisen könnten auf bewaffnete Konflikte oder terroristische Handlungen, einschließlich neu entstehender Konflikte oder terroristischer Handlungen, Naturkatastrophen wie Erdbeben und Wirbelstürme sowie auf Pandemien und andere schwerwiegende grenzüberschreitende Bedrohungen für die öffentliche Gesundheit zurückzuführen sein.

Die Kommission sollte die Möglichkeit haben, auf Empfehlung des Europäisches Gremium für digitale Dienste (im Folgenden `Gremium´) von Anbietern sehr großer Online-Plattformen und Anbietern sehr großer Suchmaschinen zu verlangen, dringend eine Krisenreaktion einzuleiten. Zu den Maßnahmen, die diese Anbieter ermitteln und in Erwägung ziehen können, zählen beispielsweise die Anpassung der Verfahren zur Moderation von Inhalten und die Aufstockung der Ressourcen für die Moderation von Inhalten, die Anpassung der allgemeinen Geschäftsbedingungen, der einschlägigen algorithmischen Systeme und der Werbesysteme, die weitere Intensivierung der Zusammenarbeit mit vertrauenswürdigen Hinweisgebern, die Durchführung von Sensibilisierungsmaßnahmen und die Förderung vertrauenswürdiger Informationen sowie die Anpassung der Gestaltung ihrer Online-Schnittstellen.“

„Verhaltenskodex zur Bekämpfung von Desinformation“

Die Bürgerrechtsbewegung European Digital Rights (EDRi) äußerte daher schon im April 2022 in einer öffentlichen Pressemeldung Kritik an dem Digital Services Act: Ohne eine demokratisch legitimierte Entscheidung könne die EU-Kommission sich schlichtweg das Recht herausnehmen, den Zugang zu Informationen im Internet zeitweise einzuschränken. Dadurch sei die Meinungsfreiheit in der EU erheblich in Gefahr. Außerdem könne die EU-Kommission selbst definieren, wann genau eine Krise vorliegt. Als unmittelbar gültige Verordnung steht der DSA zudem über nationalem Recht. Übrigens gilt das 2017 in Kraft getretene deutsche Netzwerkdurchsetzungsgesetz (NetzDG) in Teilen als Blaupause für den Digital Services Act und wird von diesem abgelöst. So überrascht kaum, dass der DSA viele Gemeinsamkeiten mit dem NetzDG aufweist. Schon 2018 hatten sich zudem Online-Plattformen im Rahmen der EU-Digitalstrategie auf einen „Verhaltenskodex zur Bekämpfung von Desinformation“ geeinigt, der 2022 noch einmal verschärft wurde, und bereits im Juni 2020 hat die „Europäische Beobachtungsstelle für digitale Medien“ ihre Arbeit aufgenommen.

Das Gesetz über digitale Dienste wird ergänzt durch das Gesetz über digitale Märkte (Digital Markets Act, kurz: DMA), das gleiche Wettbewerbsbedingungen für alle digitalen Unternehmen unabhängig von ihrer Größe schaffen soll. Es trat am 1. November 2022 in Kraft und gilt seit dem 2. Mai dieses Jahres. Die EU-Kommission will bis spätestens zum 6. September sogenannte „Gatekeeper“ („Torwächter“) benennen, die dann maximal sechs Monate Zeit habe, um die neuen Verpflichtungen im Rahmen des DMA zu erfüllen ‒ also bis März 2024. Als „Gatekeeper“ gelten große Online-Plattformen, wenn sie  aufgrund ihrer Marktposition den Marktzugang für andere kontrollieren. Zukünftig dürfen „Gatekeeper“ wie Amazon oder Apple eigene Produkte und Dienstleistungen im Rating nicht mehr bevorzugen. Vergleichbar mit dem DMA ist das in Deutschland 2021 in Kraft getretene GWB-Digitalisierungsgesetz (Gesetz gegen Wettbewerbsbeschränkungen), das der EU-Kommission ebenfalls als Vorbild diente.

Im September 2022 hatte die EU-Kommission zudem das europäische Medienfreiheitsgesetz (European Media Freedom Act, kurz: EMFA) angenommen, das unter anderem „Schutzvorkehrungen gegen politische Einflussnahme auf redaktionelle Entscheidungen und gegen Überwachung“ umfasst. Erreicht werden soll diese Medienfreiheit allerdings unter anderem ausgerechnet durch die „stabile Finanzierung öffentlich-rechtlicher Medien“. Dafür wurde eigens ein neues Kontroll-Gremium für Mediendienste geschaffen, das sich aus Vertretern der nationalen Medienregulierungsbehörden zusammensetzt. Auch hier ist die EU-Kommission also selbsterklärte „Kontrollinstanz für Medienfreiheit“. Die Regulierungswut der EU trifft noch weitere Bereiche, in denen Digitalisierung eine Rolle spielt: Seien es die „Smart Cities“, die Einführung des digitalen Euro oder aktuell die „EU-Whistleblower-Richtlinie“, die zum Melden von „Missständen mit Bezug auf EU-Recht“ ermuntert, wobei die Hinweisgeber jedoch geschützt werden sollen. Diese Richtlinie wurde in Deutschland als „Gesetz zum Hinweisgeberschutz“ in nationales Recht umgesetzt und am 2. Juli dieses Jahres von der Bundesregierung veröffentlicht.

Einschränkung unliebsamer Stimmen

Um keinen falschen Eindruck zu erwecken: Selbstverständlich spricht nichts gegen sinnvolle Digitalisierung. Problematisch ist jedoch, dass etwa zur Einführung der digitalen Identität und der EUDI-Brieftasche privaten Unternehmen Zugriff auf sensible Daten zugestanden wird. Diese Partnerschaft zwischen Regierung und Konzernen wird heute gerne „Public Private Partnership“ (PPP) genannt, könnte aber auch als Korporatismus, also als eine Verflechtung von Staat und Wirtschaft, bezeichnet werden. Daneben etablieren sich derzeit Geschäftsbeziehungen und Transaktionen zwischen Unternehmen und der öffentlichen Verwaltung (Business-to-Government, kurz: B2G).

Auch die Bündelung von etwa Gesundheitsdaten mit Bezahlvorgängen in ein und derselben App könnte schlussendlich zu Kontrolle und Steuerung beispielsweise des Einkaufsverhaltens führen. Darüber hinaus werden immer mehr Zuständigkeiten von den EU-Mitgliedstaaten auf die EU-Ebene verlagert und konzentrieren sich vor allem bei der EU-Kommission, die ihrerseits jedoch nicht durch Wahlen legitimiert ist. Außerdem bildet sich ein immer dichteres Dickicht aus verbindlichen EU-Verordnungen, national umzusetzenden Richtlinien und Leitlinien heraus, das insgesamt ein derart komplexes Regelwerk ergibt, dass es kaum mehr zu durchschauen ist ‒ offenbar auch nicht mehr von den entsprechenden Entscheidungsträgern in der Politik.

Wenn dann noch Befugnisse der EU-Kommission wie die Möglichkeit, eine Krise ausrufen zu können, dazukommen, könnten Maßnahmen in Gang gesetzt werden, die den Rechtsstaat aushebeln würden ‒ zumal kritische Stimmen durch die zunehmende Kontrolle von Online-Plattformen zum Verstummen gebracht werden können. Gerade die Erfahrungen aus der Coronakrise zeigen, wie schnell Grundrechte eingeschränkt werden können. Vor diesem Hintergrund ist Skepsis gegenüber der Digitalstrategie der EU-Kommission mehr als angebracht.

Martina Binnig lebt in Köln und arbeitet u.a. als Musikwissenschaftlerin (Historische Musikwissenschaft). Außerdem ist sie als freie Journalistin tätig.