Stefan Ziller

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) hat ihren Jahresbericht für das Jahr 2025 vorgelegt. Auf 216 Seiten wird umfangreich zur Arbeit der unabhängigen Stelle berichtet und werden besondere Fälle vorgestellt. Darin kritisiert die Behörde, dass ihr gegenüber Polizei und Justiz nach wie vor wirksame Durchsetzungsbefugnisse fehlen – ein Zustand, den sie als Verstoß gegen europäisches Recht bewertet. Der Bericht ist auf der Homepage abrufbar. Die entsprechende Pressemitteilung gibt es hier als PDF.

Drei Fälle aus dem Bericht geben einen Eindruck der Arbeit der BlnBDI: Erstens beantragte die Behörde die Sperrung der chinesischen KI-App DeepSeek in den deutschen App-Stores von Google und Apple, da der Dienst personenbezogene Daten – darunter alle Texteingaben und Chatverläufe – rechtswidrig auf Servern in China speichert. Beide Konzerne lehnten die Sperrung ab; die BlnBDI kündigte an, Beschwerde einzulegen (S. 69). Zweitens verhängte die Behörde Bußgelder gegen Berliner Polizeibeamt:innen, die ohne dienstlichen Anlass Daten aus der Polizeidatenbank POLIKS abgerufen hatten – etwa um einen eigenen laufenden Strafvorgang einzusehen oder eine Kollegin zu bespitzeln (S. 41). Drittens stellte die BlnBDI fest, dass die Berliner Verkehrsbetriebe (BVG) nach einem Hackerangriff auf einen Dienstleister, bei dem rund 180.000 Kundendatensätze abgeflossen waren, ihre Kontrollpflichten vernachlässigt hatten: Die BVG hatte schlicht nicht nachgeprüft, ob der Dienstleister die Daten nach Abschluss des Auftrags auch tatsächlich gelöscht hatte – was den Angriff nach Einschätzung der Behörde hätte verhindern können (S. 126).

Wie können Berliner*innen nachvollziehen, welche ihrer Daten von der Verwaltung oder Landesunternehmen an Dritte weitergegeben werden? Die Fraktion Bündnis 90/Die Grünen hat mit ihrem Antrag „Für mehr IT-Sicherheit: Transparenz über Datenverarbeitung durch öffentliche Stellen in Berlin herstellen“ (Drucksache 19/3239) einen konkreten Vorschlag: ein öffentliches Gesamtverzeichnis für Verarbeitungstätigkeiten nach Art. 30 DSGVO. Ziel des Antrags:  Transparenz zu schaffen – und damit das Vertrauen in die Digitalisierung zu stärken. Zusätzlich zeigen Datenschutzvorfall und Verwarnung der BVG, wie wichtig es für die Verwaltung ist, die Datenverarbeitung von Dritten gesamtstädtisch zu steuern.

Jede Behörde ist nach der DSGVO ohnehin verpflichtet, intern zu dokumentieren, welche Daten sie wie verarbeitet. Der Antrag fordert: Diese Dokumentation soll öffentlich zugänglich sein – damit Bürger*innen nachvollziehen können, was mit ihren Daten passiert. Ein Gesamtverzeichnis hilft zudem, ein Klumpenrisiko zu erkennen: Wenn viele Behörden unabhängig voneinander denselben Dienstleister beauftragen, sammeln sich dort große Mengen sensibler Daten – ohne dass jemand den Überblick hat. Erst eine gesamtstädtische Perspektive macht solche versteckten Risiken sichtbar.