Begutachtung 132/ME · XXVIII. GP

Chaos Computer Club Wien (C3W) https://c3w.at/ - buero@c3w.at Stellungnahme Am 27. Juli hat die Bundesregierung nach mehrmaliger Ankündigung den Gesetzesentwurf (Verlinkt) für das Social-Media-Verbot präsentiert. Als Chaos Computer Club Wien (C3W) haben wir diese Entwicklungen bereits seit längerer Zeit kritisch beobachtet und finden diesen Entwurf über das Ziel hinausschießend und nicht mit Meinungs- und Informationsfreiheit sowie unserem Datenschutzverständis vereinbar. Darüber hinaus hegen wir starke Zweifel an der Durchssetzbarkeit und sehen es als Einfallstor für vermehrte staatliche Kontrolle. Zusätzlich zu unserem kurzen Statement bringen wir noch eine detailiierte Stellungnahme zum Gesetzesentwurf ein, um diese Kritik auszuführen. Meinungs,- und Informationsfreiheit "Das Kind hat das Recht auf freie Meinungsäußerung; dieses Recht schließt die Freiheit ein, ungeachtet der Staatsgrenzen Informationen und Gedankengut jeder Art in Wort, Schrift oder Druck, durch Kunstwerke oder andere vom Kind gewählte Mittel sich zu beschaffen, zu empfangen und weiterzugeben."(Art 13 Abs 1 KRK) Auch Kinder sollen die Möglichkeit haben ihre Meinung zu äußern und vollständigen Zugriff zu legalen Informationen zur Meinungsbildung bekommen. Mittlerweile sind viele Informationen nur durch soziale Netzwerke zu bekommen. Kinder von wesentlicher Teilhabe auszuschließen schießt über das eigentliche Ziel hinaus. Soziale Medien haben nicht nur negative Auswirkungen, sondern auch eine Vielzahl positiver Effekte, so ermöglichen Soziale Medien eine Stärkung des Gemeinschaftsgefühls und fördern die kreative Selbstverwirklichung. Behauptungen über den Anteil süchtiger Kinder sind oft überzogen und basieren nicht auf wissenschaftlichen Publiktionen, siehe Anderson, Wood 2025. Die positiven Auswirkungen sozialer Netzwerke werden in der Kommunikation politischer Entscheidungsträger*innen bewusst und konsequent ausgeklammert. Grundrechte In der Charta der Menschenrechte sind grundlegende Rechte festgelegt, die allen Menschen ohne Diskrimi- nierung zustehen. In einem Leitfaden der auf der Webseite des Bundeskanzleramtes verfügbar ist und von den 47 Staaten des Europarates gemeinsamen verabschiedet wurde, heißt es dazu unter anderem: "Das Internet hat einen gesellschaftlichen Nutzen. Menschen, Vereinigungen, öffentliche Stellen und private Unternehmen verlassen sich für ihre Tätigkeiten auf das Internet und können berechtigterweise erwarten, dass dessen Dienste zugänglich, kostengünstig, sicher, zuverlässig und kontinuierlich sind und diskriminierungsfrei angeboten werden. Darüber hinaus darf niemand ungesetzlichen, unnotwendigen oder unverhältnismäßigen Eingriffen in die Ausübung seiner Menschenrechte und Grundfreiheiten ausgesetzt sein, wenn er das Internet nutzt.", weiters im Kaptel Privatsphäre und Datenschutz: SSie dürfen keinen allgemeinen Abhör- oder Überwachungsmaßnahmen unterworfen werden. ". Staatliche Maßnahmen müssen zielgerichtet sein. Im Kapitel Kinder und Jugendliche wird explizit auf deren Rechte hingewiesen: Äls Kind oder Jugendlicher verfügst Du über alle in diesem Leitfaden beschriebenen Rechte und Freiheiten." Die Rechte von Kindern und Erwachsenen in der vorgeschlagenen Art einzuschränken verstößt gegen Menschenrechte, deren Einhaltung sich alle Staaten des Europarates verpflichtet haben. Statt andere 4. September 2026 Chaos Computer Club Wien (C3W) Seite:1/4 Chaos Computer Club Wien (C3W) https://c3w.at/ - buero@c3w.at Mittel auszuschöpfen werden Freiheiten zurückgenommen und eingeschränkt, auf die Europa seit vielen Jahrzehnten aufbaut. Bildung und Medienkompetenz Junge Menschen von der Nutzung sozialer Medien auszuschließen, würde dazu führen, dass diese nur sehr verspätet Medienkompetenz erlernen. Medienkompetenz ist in der heutigen (digitalen) Gesellschaft eine der grundlegenden Fähigkeiten. Sie ist auch notwendig, um Falschinformationen zu erkennen, welche ein immer größeres Problem darstellen, nicht nur in Politik und Zivilgesellschaft, sondern auch für Behörden und Organisationen mit Sicherheitsaufgaben (BOS), welche durch Falschinformationen an ihrer Arbeit behindert werden (vgl Pawelec und Sievi in SIAK-Journal 2/2025, S13ff). Zwei Drittel der Deutschen haben "große oder sehr großeÄngst vor Falschmeldungen im Internet. Medienbildung spielt die Hauptrolle bei der Erkennung von Falschmeldungen (Hoffmann in Informationen zur Raumentwicklung 4/2025, S17). Auch werden Desinformationskampagnen bewusst eingesetzt, um die Gesellschaft zu polarisieren und faktenbasierte Diskussionen zu verunmöglichen, was dazu führt, dass politische Entscheidungen durch "Ge- fühleänstatt rationale Überlegungen geleitet werden. Russland setzt im Ukrainekrieg Desinformationen im großen Umfang ein, nicht nur um eigene Erfolge oder Angriffe Seitens der Ukraine vorzutäuschen, sondern auch, um das Vertrauen gegenüber Medien, Bildern und staatlichen Institutionen in der westlichen Welt ge- zielt zu untergraben (Fischer in Zeitschrift Osteuropa, 76. Jg., 3–4/2026, S97ff doi: 10.35998/oe-2026-020; van der Meer et. al. in Journalism Studies, 24. Jg. (6): S803–823 doi: 10.1080/1461670X.2023.2187652). Deutlich gezeigt hat sich das auch bezüglich der Akzeptanz der Bevölkerung von Impfstoffen, wo Desinfor- mationskampagnen eingesetzt wurden, um die Bevölkerung zu verunsichern (vgl etwa Baade ini Zeitschrift der Vereinten Nationen 5/2022, S201, DOI: 10.35998/VN-2022-0022). Der Europäische Gerichtshof für Menschenrechte geht so weit, dass er auch Häftlingen in Haftanstalten grundsätzlich einen Zugang zum Internet zuspricht (EGMR 17.01.2017, 21575/08 (Jankovskis/Litauen)) da dieser für Bildungs- und Informationszwecke notwendig und in einer demokratischen Gesellschaft zu ermöglichen ist. Staaten dürfen den Zugang zu sozialen Medien nur aus wenigen, eng zu fassenden, Gründen vorsehen (vgl Ress in Zeitschrift für öffentliches Recht 76, 915–950 (2021)). Hierzu werden etwa Inhalte, die unreflektiert sexuelle Handlungen darstellen, angeführt, dies spiegelt sich auch in der schon heute geltenden Rechtslage wider, und es ist nicht nachvollziehbar, wieso die derzeitigen Regelungen nicht ausreichend sein sollen. Überschießender Anwendungsbereich Die Definition des § 2 Z 37b AMD-G beschreibt die "Video-Sharing-Plattform"Die Liste mit allen für die EU relevanten Video-Sharing-Platformen umfasst neben etwa TikTok auch etwa das Online-Forum reddit, die Platformen Tumblr, Pinterest, X (Twitter), Facebook und Instagram, YouTube, das "Business Social Network"LinkedIn sowie die Weiterbildungsplattform Udemy. Es ist nicht nachvollziehbar, wieso für eine Bildungsplattform wie Udemy oder soziales Netzwerk, welches der beruflichen Vernetzung dient, und sich daher ohnehin an im Arbeitsleben stehende Personen richtet, von einer Altersüberprüfung umfasst werden sollen. 4. September 2026 Chaos Computer Club Wien (C3W) Seite:2/4 Chaos Computer Club Wien (C3W) https://c3w.at/ - buero@c3w.at Datenschutz Eine privatsphäre-schonende Implementierung würde eine zero-knowledge-proof Implementierung vorausset- zen, so wie in der geplanten EU-ID konzipiert. Ein zero-knowledge proof ’beantwortet’ die Anfrage, ob eine Person älter als 14 Jahre ist entweder positiv oder negativ, ohne weitere Informationen preis zu geben. Außerdem muss verhindert werden, dass andere Stellen wissen können, welche Person sich bei welchem Anbieter in Bezug auf das Alter autorisiert hat. Ebenso dürfen unterschiedliche Accounts, die zur selben Person gehören, nicht über die Altersverifikation verknüpfbar sein. Die derzeitige Implementierung der ID Austria bietet keinen zero-knowledge proof. Eine solche Imple- mentierung ist noch nicht budgetiert und technisch hochkomplex. Die im Ministerialentwurf vorgesehene Unterscheidung zwischen Registrierungskomponente und Präsentationskomponente könnten die zero- knowledge Voraussetzungen erfüllen, diese existieren derzeit aber noch nicht und können daher in ihrer Umsetzung (noch) nicht von unabhängigen Dritten überprüft werden. Die Registierungskomponente soll die Altersverifikation vornehmen und ausschließlich eine ja / nein Antwort an die Präsentationskomponente weitergeben, die direkt mit der Social Media Plattform verbunden ist. Eine zentral entwicklete Registrierungskomponente ist im Entwurf nicht vorgesehen - Plattformen werden also eigene und unterschiedliche Lösungen einsetzen, wodurch die Prüfung der Einhaltung der datenschutz- rechtlichen Vorschriften durch den "Wildwuchsän Lösungen schwer bis unmöglich durchführbar sein wird. Eine solche Regelung, in der Unternehmen selbst für die Softwarelösung zuständig sind, wird die Umsetzung erheblich erschweren, und stellt auch einen Personalaufwand dar (zumindest in der Einführungsphase) der in der Folgenabschätzung nicht abgebildet ist. Sobald Daten erhoben werden besteht das Risiko, dass diese früher oder später von einem Datenleck betroffen sind. Selbst reputable Unternehmen und Staaten, die bereits etablierte Lösungen einsetzen und ein gut finanziertes IT-Sicherheitsdepartment haben, sind immer wieder betroffen. Mit der staatlich verordneten Erfassung dieser Daten gefährdet Österreich die Daten aller Staatsbürger. Examplarisch zu nennen sind hier die Datenlecks bei Frankreichs Finanzministerium, Gesundheitsdaten von 3,7 Millionen Menschen bei CareCloud in den USA, Personen und Reisepassdaten von EuRail und Interrail, die Namen, Adressen und Sozialversicherungsnummern von knapp 300.000 Mitgliedern der Arbeiterkammer OÖ, die Namen und E-Mailadressen der Studierenden und Mitarbeitenden der TU Wien, die Meldedaten von Millionen Österreichern, die Datensätze von über 600.000 Versicherten der Tiroler Gebietskrankenkasse oder die Steuerdaten und Adressen einer Million Österreichern. Plattformregulierung und Durchsetzung Auf EU-Ebene werden soziale Medien vor allem durch die DSGVO (Datenschutz-Grundverordnung) sowie den DSA (Digital Services Act) reguliert, die gerade im aktuellen Themenbezug einige Möglichkeiten bieten würden, die großen Plattformen zur Verantwortung zu ziehen. Leider sind die Aufsichtsbehörden entweder so stark unterfinanziert, dass sie ihre Aufgaben schon jetzt nicht vollständig wahrnehmen können, nehmen Probleme sehr selektiv wahr (z.B. die irische Datenschutzbehörde) oder legen geltendes Recht sehr agendagetrieben aus (z.B. die EU-Kommission). In der Folgenabschätzung für den Ministerialentwurf werden trotz der erheblichen neuen Aufgaben der KommAustria (S.4) lediglich ein personeller Mehraufwand einer halben Jurist:in prognostiziert (S.5). Daher ist völlig unklar, wie zeitnah und akkurat die Softwarelösungen auf Compliance mit dem Gesetz überprüft werden können. Die DSB hat erst dieses Jahr in Bezug auf ihre personellen Ressourcen folgendes geschrieben: Ïn Summe 4. September 2026 Chaos Computer Club Wien (C3W) Seite:3/4 Chaos Computer Club Wien (C3W) https://c3w.at/ - buero@c3w.at erweist sich der Personalstand (trotz punktueller) Erhöhung gemessen an den zu erledigenden Aufgaben nach wie vor als zu gering. (...) Aufgrund der Tatsache, dass für die DSB keine zusätzlichen Planstellen vorgesehen sind, hat die DSB das Bundeskanzleramt als für die Durchführung der KI-VO zuständiges Ministerium darüber in Kenntnis gesetzt, dass sie sich außer Stande sieht, als Marktüberwachungsbehörde nach der KI-VO tätig zu werden, sofern es zu keiner Erhöhung des Personalstandes kommt".; Newsletter der österreichischen Datenschutzbehörde 2/2026) Die Umsetzung bestehender Regelungen muss an erster Stelle stehen, um realistisch abschätzen zu können ob weitere Maßnahmen notwendig sind. Diese Empfehlung kommt auch von Menschenrechtsexperten Michael Oflaherty. In Österreich gelten nicht nur EU weite Regeln wie der DSA, sondern zusätzlich noch ein Handy-Verbot in der Unterstufe. Die effektive Durchsetzung dieser Regelungen könnte bereits einen großen Teil der negativen Konsequenzen abschwächen - hier ist eine unabhängige wissenschaftliche Auswertung hilfreich. Zur Umsetzung von besetehenden und neuen Regelungen sind, wie bereits an anderen Stellen erwähnt, ausreichend Personalressourcen Voraussetzung, wobei der budgetierte Aufwand in keinster Weise dem Aufwand in der Realität entspricht. Es ist darüber hinaus nicht klar, wie diese Regelungen gegenüber Anbietern, die keinen Sitz in der EU und auch keine Geschäftsbeziehungen mit Unternehmen mit Sitz in der EU haben, durchgesetzt werden sollen. Lösungen statt Populismus Ein Verbot wirkt wie eine einfache Lösung, vergisst dabei jedoch die komplexen Gründe warum Jugendliche über Social Media radikalisiert werden. Es gibt auch keine wirkliche Perspektive, wie jungen Menschen ab 14 Jahren weiter geholfen werden kann. Im Gegenteil: der Suchthilfe und vielen anderen wichtigen Hilfsangeboten wurden im Zuge der Budgetkonsolidierung große Teile des Budgets gestrichen. Durch die stetige Teuerung wird auch Wohnen und der Supermarkt-Einkauf zu Herausforderung für junge Menschen. Junge Menschen brauchen echte Lösungen und Perspektiven statt Verboten und Populismus. Die Datenlage auf die sich die Österreichische Regierung in ihren Erläuterungen bezieht ist ebenfalls als Populismus zu hinterfragen. Die Behauptung, dass 46% der Jugendlichen zwischen 13 und 17 Jahren fast ununterbrochen önline"wäre, stammt aus einer 2022 in den USA durchgeführten Studie. Durch die stark unterschiedlichen Demographien sind die Ergebnisse der Studie nicht automatisch auf Österreich übertragbar. Einfallstor für staatliche Eingriffe Die Altersverifikation für Social Media stellt einen erheblichen Eingriff in die Grundrechte von uns allen dar, ganz unabhängig vom Alter. Auch der Vergleich mit Alkohol hält hier einer näheren Betrachtung nicht stand: Erwachsene werden nicht standardmäßig bei jedem Einkauf kontrolliert, und ein vorgezeigter Ausweis wird nicht systematisch elektronisch erfasst, ebensowenig wird ein weiterer Anbieter dazwischen geschalten, der die vom Inhaltsanbieter die Information erhält, dass Erwin Pröll gerne von der "Vodka GmbHëtwas kaufen möchte, wofür man volljährig sein muss,. Eltern sind grundsätzlich dafür verantwortlich, dass ihre Kinder zuhause keinen Alkohol trinken, bevor sie das gesetzliche Alter erreicht haben, nicht der Staat. Statt weniger drastischen Eingriffen wird hier jene Lösung gewählt, die in Zukunft am leichtesten ausgenutzt werden kann, um Onlineaktivitäten zu erfassen und auszuwerten. Während jetzt noch von Video-Sharing-Plattformen die Rede ist könnte dies in Zukunft ausgeweitet werden. 4. September 2026 Chaos Computer Club Wien (C3W) Seite:4/4