Begutachtung 132/ME · XXVIII. GP

Sehr geehrte Damen und Herren, ich lehne den vorliegenden Ministerialentwurf in seiner derzeitigen Form vollumfänglich ab. Der Schutz von Kindern und Jugendlichen vor entwicklungsbeeinträchtigenden Inhalten und gezielt suchtfördernden Mechanismen sozialer Medien ist grundsätzlich ein legitimes Anliegen. Daraus folgt jedoch nicht, dass der Staat zur Erreichung dieses Zieles eine technische Alters- und Identifikationsinfrastruktur für einen wesentlichen Teil der Bevölkerung schaffen darf. Der Gesetzgeber muss nicht nur erklären, welches Problem er lösen möchte. Er muss auch nachweisen, dass die gewählte Maßnahme geeignet, erforderlich und verhältnismäßig ist. Gerade daran bestehen bei diesem Entwurf erhebliche Zweifel. Das Problem ist real, die vorgeschlagene Lösung deshalb noch lange nicht richtig Ich bestreite nicht, dass soziale Medien bei Kindern und Jugendlichen problematische Auswirkungen haben können. Ebenso wenig bestreite ich, dass Plattformen ihre Produkte bewusst so gestalten, dass Menschen möglichst häufig zurückkehren und möglichst lange bleiben. Problematisch wird die Argumentation aber dort, wo aus statistischen Zusammenhängen eine einfache Ursache-Wirkungs-Beziehung gemacht und daraus anschließend ein weitreichender Grundrechtseingriff abgeleitet wird. Wenn Jugendliche mit psychischen Problemen soziale Medien überdurchschnittlich intensiv nutzen, kann die Nutzung Ursache, Verstärker oder auch teilweise Folge bestehender Probleme sein. Ein einsamer Jugendlicher kann durch soziale Medien einsamer werden. Er kann soziale Medien aber auch intensiver nutzen, weil er bereits einsam ist. Für die politische Kommunikation mag dieser Unterschied lästig sein. Für die Rechtfertigung eines massiven Eingriffs ist er wesentlich. Ebenso halte ich es für problematisch, Nutzungszahlen oder Studien aus anderen Staaten ohne Weiteres auf österreichische Kinder und Jugendliche zu übertragen. Unterschiedliche Bildungssysteme, Familienstrukturen, Nutzungsgewohnheiten und gesellschaftliche Rahmenbedingungen spielen eine Rolle. Ein erheblicher Eingriff in Informationsfreiheit und Privatsphäre verlangt deshalb auch eine entsprechend belastbare Grundlage. Dass es problematische Nutzung gibt, ist kein Beweis dafür, dass eine allgemeine Alterskontrolle die richtige Lösung ist. Regulierung der schädlichen Funktionen statt Sperre ganzer Plattformen Der Entwurf benennt selbst jene Mechanismen, die bei Kindern und Jugendlichen problematisch sein können. Dazu gehören unter anderem Autoplay, Infinite Scroll, Streaks, bestimmte Push- Benachrichtigungen und algorithmische Empfehlungssysteme. Wenn genau diese Funktionen das Problem darstellen, ist für mich nicht nachvollziehbar, weshalb nicht vorrangig diese Funktionen reguliert werden. Ein dreizehnjähriger Schüler kann auf einer Video-Plattform ein Mathematikvideo ansehen, sich über Geschichte informieren, einen politischen Beitrag ansehen, eine Dokumentation verfolgen oder ein Erste-Hilfe-Video suchen. Dafür benötigt er weder Infinite Scroll noch Streaks noch einen auf maximale Verweildauer optimierten Empfehlungsalgorithmus. Es wäre wesentlich naheliegender, genau jene Funktionen einzuschränken, die als problematisch erkannt wurden. Autoplay kann deaktiviert werden. Ein chronologischer oder selbst ausgewählter Feed kann einen Empfehlungsalgorithmus ersetzen. Push-Benachrichtigungen können eingeschränkt werden. Streaks und vergleichbare psychologische Belohnungsmechanismen können verboten werden. Kontaktaufnahmen durch unbekannte Personen können eingeschränkt werden. Stattdessen soll der Zugang zum gesamten Dienst beschränkt werden. Damit wird ein Bildungsangebot genauso erfasst wie ein suchtfördernder Kurzvideo-Feed. Ein wissenschaftlicher Vortrag wird mit demselben Instrument behandelt wie ein endloser Strom algorithmisch ausgewählter Unterhaltung. Es fehlt außerdem eine überzeugende Unterscheidung zwischen dem bloßen Abruf öffentlich verfügbarer Inhalte und der aktiven Teilnahme an einem sozialen Netzwerk. Ein Video anzusehen ist nicht dasselbe wie selbst Inhalte hochzuladen. Eine Nachrichtensendung aufzurufen ist nicht dasselbe wie Direktnachrichten unbekannter Personen zu empfangen. Eine öffentlich zugängliche Dokumentation anzusehen ist nicht dasselbe wie stundenlang einen personalisierten Empfehlungsfeed zu konsumieren. Gerade diese Unterschiede wären für eine verhältnismäßige Regulierung entscheidend. Bemerkenswert ist außerdem, dass selbst Fachstellen aus dem Bereich der Suchtprävention in ihren Stellungnahmen funktionsbezogene Ansätze hervorheben. Das bestätigt aus meiner Sicht einen entscheidenden Punkt. Nicht das Internet oder eine bestimmte Plattformbezeichnung ist das Problem. Problematisch sind konkrete Mechanismen. Wenn der Gesetzgeber diese Mechanismen bereits identifizieren kann, sollte er sie auch direkt regulieren. Auch Kinder haben Informationsrechte Kinder und Jugendliche werden in der politischen Diskussion fast ausschließlich als Schutzobjekte behandelt. Sie sind aber auch selbst Träger von Informations-, Kommunikations- und Meinungsrechten. Jugendschutz bedeutet deshalb nicht automatisch, möglichst viele Informationsräume möglichst vollständig zu sperren. Der Gesetzgeber muss auch berücksichtigen, was Minderjährige durch eine solche Sperre verlieren. Soziale Medien sind nicht ausschließlich Tanzvideos, Influencer und zweifelhafte Challenges. Dort finden sich Bildungsinhalte, politische Debatten, wissenschaftliche Vorträge, Nachrichten, technische Anleitungen, Selbsthilfeangebote, kulturelle Inhalte und Kommunikation mit Menschen aus anderen Ländern. Gerade bei Jugendlichen aus kleinen Orten oder ungewöhnlichen Interessensgebieten können Online-Communitys einen erheblichen Teil ihrer sozialen und intellektuellen Teilhabe ermöglichen. Ein verantwortungsvoller Jugendschutz muss diese Rechte mit dem Schutzauftrag in Einklang bringen. Er darf Kinder nicht einfach aus wesentlichen Teilen der digitalen Öffentlichkeit entfernen und anschließend behaupten, damit sei das Problem gelöst. Medienkompetenz entsteht nicht durch ein Verbot Kinder und Jugendliche müssen lernen, mit digitalen Medien umzugehen. Diese Kompetenz entsteht nicht dadurch, dass man sie bis zu einem bestimmten Geburtstag von wesentlichen Teilen des digitalen Informationsraums ausschließt und anschließend davon ausgeht, dass am nächsten Tag plötzlich ein mündiger Mediennutzer entstanden ist. Ein Mensch wird mit Vollendung des vierzehnten Lebensjahres nicht schlagartig medienkompetent. Medienkompetenz muss erlernt werden. Dazu gehört der Umgang mit Werbung, manipulierten Bildern, künstlich erzeugten Inhalten, Desinformation, politischen Botschaften, Influencern, Algorithmen und emotionalisierenden Medienbeiträgen. Dazu gehört vor allem die Fähigkeit, verschiedene Quellen miteinander zu vergleichen und auch eine professionell präsentierte Aussage nicht automatisch für wahr zu halten. Diese Aufgabe liegt zunächst bei Eltern und Erziehungsberechtigten. Der Staat darf dabei unterstützen und er soll Bildungseinrichtungen in die Lage versetzen, digitale Kompetenz zu vermitteln. Moderne Smartphones, Tablets, Betriebssysteme und Router verfügen bereits heute über Möglichkeiten zur zeitlichen Begrenzung, Altersfreigabe und Einschränkung einzelner Apps. Diese Systeme können verbessert und vereinheitlicht werden. Ebenso können Plattformen verpflichtet werden, echte und einfach nutzbare Jugendschutzeinstellungen bereitzustellen. Es erscheint mir aber nicht nachvollziehbar, aus der mangelnden Begleitung einzelner Kinder eine faktische Altersnachweispflicht für Millionen erwachsene Nutzer abzuleiten. Die praktische Wirksamkeit ist keineswegs gesichert Ein Verbot beseitigt weder das Interesse an sozialen Medien noch das Kommunikationsbedürfnis von Jugendlichen. Wenn große Plattformen einen dreizehnjährigen Nutzer aussperren, stehen weiterhin zahlreiche Möglichkeiten zur Verfügung, eine solche Sperre zu umgehen. Dazu gehören VPN-Dienste, gemeinsam verwendete Accounts, Geräte älterer Familienmitglieder, bereits bestehende Konten und andere ausländische Angebote. Man muss kein IT-Spezialist sein, um vorherzusehen, dass ein Teil der Jugendlichen solche Möglichkeiten nutzen wird. Es besteht außerdem die Gefahr, dass Minderjährige von großen und zumindest vergleichsweise stark kontrollierten Plattformen zu kleineren, schlechter moderierten oder außerhalb der europäischen Rechtsdurchsetzung liegenden Diensten ausweichen. Dann hätte der Staat zwar den Zugang zu einem großen Anbieter erschwert, das eigentliche Problem aber lediglich an einen schlechter kontrollierbaren Ort verschoben. Besonders absurd wäre eine Situation, in der normale Bürger zunehmend VPN-Dienste benötigen, um völlig legale internationale Internetangebote weiterhin in gewohnter Weise verwenden zu können. Ein liberaler Rechtsstaat sollte nicht zuerst regulatorische Grenzen im Internet errichten und sich anschließend wundern, dass seine Bürger technische Umgehungswege verwenden. Eine Maßnahme, die erheblich in die Nutzungsmöglichkeiten erwachsener Bürger eingreift, ist nur dann zu rechtfertigen, wenn sie gegenüber der eigentlich zu schützenden Gruppe tatsächlich wirksam ist. Eine theoretisch funktionierende Alterskontrolle ist noch kein wirksamer Jugendschutz. Aus einem Jugendschutzgesetz wird eine Alterskontrolle für alle Die öffentliche Bezeichnung als Social-Media-Verbot für Unter-14-Jährige verdeckt einen wesentlichen Punkt. Damit ein Anbieter feststellen kann, wer unter vierzehn Jahre alt ist, muss er auch feststellen können, wer älter ist. Der Erwachsene muss damit letztlich seine Zugangsberechtigung nachweisen. Ein 30-Jähriger, ein 50-Jähriger und ein 80-Jähriger werden technisch genauso zum Gegenstand der Altersfeststellung wie ein Minderjähriger. Damit verändert sich ein bisher selbstverständlicher Grundsatz. Bislang kann ein erwachsener Bürger einen erheblichen Teil des frei verfügbaren Internets nutzen, ohne zuvor gegenüber einer gesetzlich vorgeschriebenen Infrastruktur nachweisen zu müssen, dass er dazu berechtigt ist. Dieser Schritt sollte nicht als belanglose technische Begleiterscheinung des Jugendschutzes behandelt werden. Es ist faktisch eine neue Zugangsschicht für das Internet. Age Assurance ist nicht Identitätsprüfung Für das eigentliche Schutzziel müsste eine Plattform nur wissen, ob eine bestimmte Altersgrenze erreicht wurde. Sie muss dafür weder meinen Namen noch mein Geburtsdatum noch meine Adresse noch meine staatliche Identität kennen. Eine technisch saubere Lösung müsste im Idealfall lediglich die Information liefern, dass die betreffende Person beispielsweise älter als vierzehn oder achtzehn Jahre ist. Diese Trennung ist entscheidend. Ich begrüße daher ausdrücklich, dass der Entwurf datensparsame Verfahren, eine Trennung verschiedener Komponenten und den Schutz vor Nachverfolgung vorsieht. Das löst aber nicht das grundsätzliche Problem. Denn auch eine perfekt datensparsame Altersverifikation schafft eine neue technische Voraussetzung für den Zugang zu legalen Inhalten. Sie schafft Infrastruktur. Sie schafft Standards. Sie schafft Schnittstellen. Sie schafft wirtschaftliche Anbieter. Und sie schafft gesellschaftliche Gewöhnung daran, dass vor bestimmten Bereichen des Internets zuerst ein digitaler Berechtigungsnachweis verlangt wird. Genau diese strukturelle Veränderung ist für mich problematisch. Aus der Altersverifikation kann ein faktischer Login-Zwang entstehen Ein Punkt wird in der öffentlichen Diskussion bisher kaum beachtet. Wenn ein Bürger sein Alter einmal verifiziert hat, soll er diesen Vorgang vernünftigerweise nicht bei jedem einzelnen Video und jedem erneuten Seitenaufruf wiederholen müssen. Damit muss das System aber in irgendeiner Form wiedererkennen können, dass die betreffende Nutzung bereits verifiziert wurde. Das kann über ein Konto, ein Token, eine Wallet oder eine andere technische Berechtigung geschehen. Damit besteht die reale Gefahr, dass aus der Altersverifikation praktisch ein weiterer Anreiz für dauerhafte Benutzerkonten und Login-Systeme entsteht. Heute kann ich zahlreiche Inhalte ohne Konto aufrufen. Ich kann ein eingebettetes YouTube-Video auf einer anderen Website ansehen. Ich kann öffentlich verfügbare Beiträge lesen, ohne mich bei der Plattform anzumelden. Wenn solche Inhalte künftig nur noch nach einer dauerhaft wiedererkennbaren Altersfreigabe funktionieren, wird das offene Internet weiter in geschlossene Plattformbereiche gedrängt. Das wäre besonders widersprüchlich. Ein Gesetz, das angeblich die Macht großer Plattformen beschränken soll, könnte diesen Plattformen gleichzeitig zusätzliche Gründe liefern, Nutzer in ihre eigenen Kontosysteme zu zwingen. Aus freiem Web wird dann zunehmend ein Netz aus Walled Gardens. Wer hinein will, muss sich anmelden. Bestehende Nutzerkonten Unverständlich erscheint mir außerdem die Behandlung bereits lange bestehender Nutzerkonten. Zahlreiche Accounts bestehen seit fünfzehn, achtzehn oder mehr Jahren. Ein seit 2008 bestehendes Konto kann offensichtlich nicht damals von einer heute dreizehnjährigen Person angelegt worden sein. Natürlich beweist das Alter eines Kontos nicht mit absoluter Sicherheit, wer es heute verwendet. Ein Konto kann übertragen oder gemeinsam genutzt werden. Absolute Sicherheit kann jedoch nicht der Maßstab für jeden Grundrechtseingriff sein. Wenn ein Plattformanbieter bereits über langjährige Vertragsbeziehungen, frühere Altersangaben, Zahlungsvorgänge oder andere belastbare Informationen verfügt, sollte der Gesetzgeber erklären, weshalb diese nicht berücksichtigt werden können und warum stattdessen eine zusätzliche Verifikation erforderlich wird. Datensparsamkeit bedeutet auch, Informationen nicht erneut zu erheben, wenn eine ausreichende Feststellung bereits mit weniger eingriffsintensiven Mitteln möglich ist. Das Gesetz könnte ausgerechnet Big Tech stärken Besonders widersprüchlich erscheint mir, dass eine Regulierung großer Plattformen deren Marktstellung langfristig sogar stärken könnte. Google, Meta, Apple und andere internationale Konzerne können komplexe Verifikations-, Audit- und Compliance-Systeme finanzieren. Für sie stellen zusätzliche Rechtsabteilungen, Zertifizierungen, technische Schnittstellen und laufende Prüfungen Kosten dar, die im Verhältnis zu ihrem Umsatz überschaubar bleiben. Für ein kleines Forum, einen gemeinnützigen Verein, ein nicht-kommerzielles Community-Projekt, eine spezialisierte Bildungsplattform oder einen kleinen ausländischen Dienst sieht das völlig anders aus. Diese Anbieter müssen entscheiden, ob sich eine spezielle technische und rechtliche Infrastruktur für einen kleinen österreichischen Markt überhaupt lohnt. Wenn die Antwort Nein lautet, ist die einfachste Lösung nicht die Implementierung einer österreichischen Sonderregel. Die einfachste Lösung ist die Sperre österreichischer Nutzer. Damit würde ausgerechnet ein Gesetz gegen die problematischen Auswirkungen großer Plattformen dazu beitragen, kleinere Alternativen aus dem Markt zu drängen. Was übrig bleibt, sind jene Unternehmen, die jede neue Compliance-Anforderung problemlos bezahlen können. Das wäre keine Stärkung eines offenen Internets. Es wäre eine weitere Konzentration der digitalen Öffentlichkeit bei wenigen großen Konzernen. Nischen-, Bildungs- und Community-Angebote dürfen nicht als Kollateralschaden verschwinden Gerade kleinere Angebote leben davon, dass Menschen sie ohne große Hürden ausprobieren können. Niemand möchte für jedes kleine Forum, jedes Forschungsprojekt, jede Creative-Commons-Plattform oder jede neue Community zuerst einen Verifikationsprozess durchlaufen. Selbst wenn die Altersprüfung für den Nutzer kostenlos ist, erzeugt sie Reibung. Ein großer Anbieter verkraftet es, wenn ein Teil der Nutzer an dieser Hürde abspringt. Für ein kleines Projekt kann genau dieser niederschwellige Erstkontakt über dessen Fortbestand entscheiden. Der Gesetzgeber muss daher nicht nur fragen, ob Google oder Meta die Anforderungen erfüllen können. Er muss fragen, was mit den tausenden kleinen Angeboten geschieht, die kein eigenes Compliance- Team beschäftigen. Ein Internet, das nur noch aus einigen wenigen perfekt regulierten Großplattformen besteht, wäre vielleicht einfacher zu beaufsichtigen. Es wäre aber auch ärmer, zentralisierter und wesentlich abhängiger von wenigen Konzernen. Das kann nicht das Ziel einer demokratischen Medienpolitik sein. Die Anonymität des Internets ist keine Fehlfunktion Die Möglichkeit, Informationen anonym oder unter einem Pseudonym zu lesen und zu veröffentlichen, erfüllt eine wichtige gesellschaftliche Funktion. Sie schützt Whistleblower und Arbeitnehmer, die Missstände öffentlich machen. Sie schützt Personen, die Informationen über Krankheiten, Sexualität, Schwangerschaftsabbrüche oder andere höchstpersönliche Themen suchen. Sie schützt Menschen, die politische Ansichten vertreten, mit denen sie in ihrem persönlichen oder beruflichen Umfeld Nachteile erwarten müssen. Sie schützt Beamte, Soldaten, Polizisten und andere Beschäftigte, die auf problematische Zustände innerhalb ihrer Organisation aufmerksam machen möchten. Vor allem schützt sie gewöhnliche Bürger davor, dass jede politische Information, jede kontroverse Meinung und jeder besuchte Inhalt dauerhaft mit ihrem bürgerlichen Namen verbunden werden kann. Bereits die Möglichkeit einer solchen Zuordnung verändert Verhalten. Menschen lesen bestimmte Inhalte nicht mehr, äußern bestimmte Meinungen vorsichtiger oder verzichten auf kontroverse Diskussionen, wenn sie davon ausgehen müssen, dass ihre reale Identität technisch nachvollziehbar sein könnte. Eine freie Gesellschaft sollte deshalb ausgesprochen zurückhaltend sein, wenn sie neue Identifikations- oder Berechtigungssysteme für Informationsangebote schafft. Der Entwurf erkennt das Missbrauchspotenzial selbst an Der Entwurf fordert eine Trennung zwischen Plattform und Verifikationsanbieter. Er verlangt Nichtbeobachtbarkeit und Nichtverfolgbarkeit. Eine zentrale Nutzungsprotokollierung soll ausgeschlossen werden. Profiling, Scoring und Account-Verknüpfungen sollen verhindert werden. Diese Vorgaben sind grundsätzlich zu begrüßen. Bemerkenswert ist aber, dass all diese Schutzmaßnahmen überhaupt erforderlich sind. Sie sind erforderlich, weil entsprechende Verknüpfungen technisch möglich wären. Die Gefahr einer nachträglichen Identifikation, Profilbildung oder Nutzungsanalyse ist daher keine Fantasie besonders misstrauischer Bürger. Der Gesetzgeber erkennt diese Risiken selbst und versucht sie einzugrenzen. Ein gesetzliches Verbot ist jedoch keine technische Unmöglichkeit. Eine Zweckbindung kann geändert werden. Eine Aufbewahrungsfrist kann verlängert werden. Eine Behörde kann neue Befugnisse erhalten. Ein dezentrales System kann später zentralisiert werden. Genau deshalb reicht mir das Versprechen nicht, dass die aktuelle Ausgestaltung datenschutzfreundlich sein soll. Die entscheidende Frage lautet, was mit einer einmal geschaffenen Infrastruktur später möglich wird. Die versprochene Technik muss zuerst existieren und überprüfbar funktionieren Der Entwurf stellt hohe Anforderungen an Datenschutz und technische Trennung. Das ist richtig. Problematisch ist allerdings, dass daraus nicht folgt, dass jede zukünftige konkrete Implementierung diese Anforderungen auch tatsächlich erfüllt. Eine technische Architektur kann auf Papier hervorragend aussehen. Entscheidend ist, wie sie programmiert wird, welche Metadaten tatsächlich anfallen, welche Bibliotheken verwendet werden, welche Unterauftragnehmer beteiligt sind, welche Protokolle geschrieben werden und welche Angriffsmöglichkeiten bestehen. Gerade komplexe Privacy-Preserving-Verfahren müssen unabhängig überprüfbar und praktisch erprobt sein. Der Gesetzgeber sollte nicht zuerst Millionen Bürger zur Nutzung einer neuen technischen Infrastruktur verpflichten und anschließend feststellen, ob deren tatsächliche Implementierung die versprochenen Eigenschaften besitzt. Datenschutz darf hier nicht auf einer Präsentationsfolie funktionieren. Er muss im realen System funktionieren. Und zwar bevor eine Verpflichtung entsteht. Staatlich geschaffenes Zusatzrisiko und ungeklärte Verantwortung Ein weiterer wesentlicher Punkt ist die Frage, wer das zusätzliche Risiko dieser Altersverifikation trägt. Der Staat schafft mit dem Gesetz eine neue Zugangsvoraussetzung. Wer die betroffenen Dienste weiterhin nutzen möchte, muss sich einer zusätzlichen Datenverarbeitung unterwerfen, die ohne dieses Gesetz nicht erforderlich wäre. Kommt es bei einem privaten Verifikationsanbieter zu einem Datenverlust, einem Cyberangriff, einem unberechtigten Zugriff durch Mitarbeiter oder einer Insolvenz, wurde der konkrete Schaden zwar nicht unmittelbar vom Staat verursacht. Der Staat hat aber die Voraussetzung dafür geschaffen, dass sich der Bürger diesem zusätzlichen Risiko überhaupt aussetzen musste. Damit stellt sich auch eine Haftungsfrage. Es kann nicht sein, dass der Staat eine neue Verifikationspflicht schafft, private Unternehmen die technische Durchführung übernehmen und der geschädigte Bürger am Ende feststellen muss, dass der verantwortliche Dienstleister insolvent ist oder keine ausreichende Versicherungsdeckung besitzt. Wenn eine gesetzlich vorgeschriebene Infrastruktur einen erheblichen Teil der Bevölkerung betrifft, muss auch geregelt werden, wer das verbleibende wirtschaftliche Risiko trägt. Sollte der Entwurf weiterverfolgt werden, halte ich eine klare Letztverantwortung der Plattformbetreiber, eine ausreichende Cyber- und Vermögensschadenhaftpflicht der Verifikationsanbieter und zumindest die Prüfung einer zusätzlichen Auffanglösung für Massenschäden für erforderlich. Wer das zusätzliche Risiko gesetzlich verursacht, darf dessen Folgen nicht vollständig beim Bürger abladen. Identifikationsstandard aus dem Geldwäscherecht Besonders auffällig ist der Rückgriff auf einen Verlässlichkeitsmaßstab, der sich an der Identitätsfeststellung im Geldwäschebereich orientiert. Der Staat übernimmt damit einen hohen Identifikationsstandard aus einem besonders streng regulierten Bereich. Dort bestehen allerdings umfangreiche Organisationspflichten, interne Kontrollen, Leitungsverantwortung, Aufsicht und klare Regelungen für ausgelagerte Tätigkeiten. Wenn der Gesetzgeber bei der Benutzung sozialer Medien auf einen vergleichbaren Verlässlichkeitsmaßstab zurückgreifen möchte, muss erklärt werden, weshalb die dazugehörige Schutz- und Verantwortungsarchitektur nicht in gleicher Konsequenz übernommen wird. Es erscheint mir widersprüchlich, beim Identifikationsstandard auf einen hochregulierten Finanzbereich zu verweisen, bei der Haftung und organisatorischen Verantwortung aber im Wesentlichen auf allgemeine datenschutz- und zivilrechtliche Instrumente zu vertrauen. Ein attraktives Ziel für Cyberangriffe Eine Altersverifikationsinfrastruktur, die potenziell Millionen Menschen betrifft, stellt zwangsläufig ein interessantes Ziel für Cyberangriffe dar. Dass die Plattform selbst nur ein Altersmerkmal wie „über 14“ oder „über 18“ erhalten soll, löst dieses Problem nicht vollständig. Irgendwo muss zuvor zuverlässig festgestellt werden, ob diese Aussage stimmt. Je nach technischer Lösung können dabei Identitäts-, Ausweis-, Bild-, Geräte- oder andere Prüfdaten verarbeitet werden. Je größer die Zahl der Nutzer und je zentraler bestimmte Komponenten werden, desto interessanter wird ein erfolgreicher Angriff. Besonders widersinnig wäre ein Jugendschutzsystem, bei dem Minderjährige bei einem gescheiterten Verifikationsversuch selbst zusätzliche Identitäts- oder Gerätedaten offenlegen und anschließend Opfer eines Datenlecks werden. Google, Apple und andere Technologiekonzerne Die Missbrauchsgefahr besteht nicht nur auf staatlicher Seite. Mindestens ebenso problematisch ist die bereits heute vorhandene Machtkonzentration bei internationalen Technologiekonzernen. Google betreibt eine der größten Video-Plattformen der Welt, einen der meistgenutzten Browser, eines der wichtigsten mobilen Betriebssysteme, Nutzerkonten, Werbeinfrastruktur und umfangreiche Analysewerkzeuge. Apple kontrolliert in seinem Ökosystem Betriebssystem, App-Verteilung, Geräteidentität, Wallet- Funktionen und weitere zentrale Komponenten. Wenn künftig Browser, Betriebssysteme, App-Stores oder konzerninterne Age-Assurance-Systeme Teil der Altersverifikation werden, muss nachvollziehbar erklärt werden, wie eine tatsächliche technische Trennung gewährleistet werden soll. Es reicht nicht, diese Trennung gesetzlich vorzuschreiben, wenn derselbe Konzern gleichzeitig mehrere Seiten des Systems kontrolliert. Die Bevölkerung darf nicht in eine Situation geraten, in der sie zwischen einer staatlichen Identitätslösung und den Identitäts- und Verifikationssystemen einiger weniger globaler Konzerne wählen muss. Keine Smartphone-Pflicht durch die Hintertür Eine weitere praktische Frage betrifft die Geräte, über die Menschen das Internet verwenden. Nicht jeder Bürger nutzt alle Dienste über ein aktuelles Smartphone. Menschen arbeiten mit Windows, macOS oder Linux. Sie verwenden Firmenrechner, Smart-TVs, ältere Geräte oder Browserumgebungen, auf denen eine bestimmte Wallet oder Identifikations-App nicht zur Verfügung steht. Eine Altersverifikation darf daher nicht faktisch voraussetzen, dass jeder Bürger ein bestimmtes Smartphone besitzt oder ein bestimmtes Betriebssystem verwendet. Ich halte es für inakzeptabel, wenn ein erwachsener Bürger zusätzliche Hardware oder eine staatlich beziehungsweise privat vorgegebene App benötigt, nur um im Browser ein vollkommen legales Video oder einen Musikstream aufzurufen. Technische Neutralität muss hier eine Grundvoraussetzung sein. Auch der Vergleich mit Alkohol überzeugt nicht Der gelegentlich gezogene Vergleich mit Alterskontrollen beim Kauf von Alkohol oder anderen altersbeschränkten Produkten greift zu kurz. Wenn ein offensichtlich erwachsener Bürger eine Flasche Wein kauft, muss er sich normalerweise nicht zuerst bei einem digitalen Verifikationsdienst registrieren. Es wird kein dauerhaft verwendbares kryptografisches Altersmerkmal erzeugt. Es wird keine zusätzliche Infrastruktur zwischen Bürger und Geschäft geschaltet. Es entsteht kein neues technisches System, das potenziell bei jedem zukünftigen Einkauf erneut eine Berechtigung bestätigt. Und normalerweise wird auch nicht elektronisch protokolliert, dass eine bestimmte Person zu einem bestimmten Zeitpunkt überhaupt eine Alterskontrolle benötigt hat. Gerade diese Unterschiede sind der Kern der Kritik. Eine einmalige Sichtkontrolle im Geschäft ist etwas völlig anderes als eine dauerhafte digitale Zugangsinfrastruktur für das Internet. ID Austria darf nicht zur Eintrittskarte ins Internet werden Eine verpflichtende oder faktisch bevorzugte Verbindung mit ID Austria lehne ich entschieden ab. ID Austria darf nicht schrittweise zum Generalschlüssel für den Zugang zum Internet werden. Eine staatlich verwaltete digitale Identität darf nicht darüber entscheiden, ob ein Bürger politische Beiträge lesen, Videos ansehen, soziale Netzwerke nutzen oder legale Inhalte für Erwachsene aufrufen darf. Auch eine formell freiwillige Lösung kann faktisch verpflichtend werden, wenn sie zur einfachsten, billigsten oder von Behörden bevorzugten Methode wird. Deshalb muss nicht nur ein formaler Zwang ausgeschlossen werden. Auch eine faktische Bevorzugung einer staatlichen Identitätslösung muss verhindert werden. Von der Altersverifikation zur weitergehenden Kontrollinfrastruktur Ich halte es für möglich, dass dieser Entwurf nicht das Ende, sondern lediglich den Beginn einer wesentlich weitergehenden digitalen Identitätsinfrastruktur darstellt. Ich behaupte nicht, dass der aktuelle Entwurf bereits ein Social-Scoring-System einführt. Ich vermute jedoch, dass damit eine technische Infrastruktur, ein rechtlicher Präzedenzfall und vor allem eine gesellschaftliche Gewöhnung geschaffen werden können, auf denen spätere Identifikations- und Kontrollmaßnahmen aufbauen. Heute wird lediglich festgestellt, ob jemand eine bestimmte Altersgrenze überschritten hat. Wenn diese Infrastruktur einmal vorhanden und gesellschaftlich akzeptiert ist, können weitere Anwendungsbereiche vergleichsweise leicht hinzukommen. Aus einem Altersnachweis kann irgendwann eine allgemeine digitale Zugangsberechtigung werden. Die technische Entwicklung digitaler Wallets und wiederverwendbarer Nachweise ist gerade darauf ausgelegt, unterschiedliche Eigenschaften und Berechtigungen nachweisen zu können. Das mag in zahlreichen Bereichen komfortabel und sinnvoll sein. Im Bereich der Informationsfreiheit schafft dieselbe Erweiterbarkeit aber ein erhebliches Missbrauchspotenzial. Social Scoring braucht keinen sichtbaren Punktestand Ein zukünftiges System politischer Verhaltensbewertung müsste nicht offiziell als Social Scoring bezeichnet werden. Es müsste auch keinen sichtbaren Punktestand geben. Es würde ausreichen, unterschiedliche Informationen miteinander zu verbinden. Wer liest regelmäßig regierungskritische Medien. Wer verfolgt oppositionelle Politiker oder Protestbewegungen. Wer konsumiert besonders viele Inhalte zu Migration, Waffenrecht, Neutralität, Pandemiepolitik oder staatlichem Fehlverhalten. Wer bewertet solche Inhalte positiv oder verbreitet sie weiter. Wer arbeitet in einem sicherheitssensiblen Beruf. Wer benötigt eine behördliche Zuverlässigkeitsprüfung. Aus für sich genommen vollkommen legalen Handlungen können politische Interessenprofile entstehen. Ein solches System müsste auch nicht „Social Scoring“ heißen. Man könnte es Extremismusprävention, Desinformationsbekämpfung, Gefährdungsanalyse, Demokratieschutz oder Sicherheitsüberprüfung nennen. Die Bezeichnung ist zweitrangig. Entscheidend ist, ob aus legalem Informationsverhalten Rückschlüsse auf die politische Zuverlässigkeit eines Bürgers gezogen werden können. Gerade deshalb halte ich es für gefährlich, eine Infrastruktur zu schaffen, die eine spätere Verbindung realer Identitäten mit digitalem Nutzungsverhalten auch nur wesentlich erleichtert. Gesetzliche Zweckbindung schützt nicht vor einer späteren Gesetzesänderung Der aktuelle Entwurf verbietet eine Reihe solcher Anwendungen ausdrücklich. Das ist richtig und notwendig. Es bietet jedoch keinen dauerhaften Schutz. Gesetze können geändert werden. Zweckbindungen können erweitert werden. Aufbewahrungsfristen können verlängert werden. Behörden können zusätzliche Zugriffsrechte erhalten. Eine Krise kann neue Maßnahmen politisch rechtfertigen. Dann wird argumentiert werden, dass nur Gefährder betroffen seien, dass die Maßnahme nur vorübergehend gelte, dass nur besonders problematische Inhalte betroffen seien oder dass rechtschaffene Bürger ohnehin nichts zu befürchten hätten. Eine freie Gesellschaft sollte Grundrechte nicht vom guten Willen der jeweils amtierenden Regierung abhängig machen. Die richtige Frage lautet nicht nur, ob die aktuelle Regierung eine Infrastruktur missbrauchen möchte. Die richtige Frage lautet, ob auch eine zukünftige Regierung sie missbrauchen könnte. Österreichische Erfahrung mit Zweckausweitungen und außergewöhnlichen Maßnahmen Die österreichische Geschichte liefert genügend Beispiele dafür, dass Instrumente später für andere Zwecke verwendet werden können als ursprünglich vorgesehen. Das Kriegswirtschaftliche Ermächtigungsgesetz wurde 1917 zur Bewältigung kriegsbedingter wirtschaftlicher Probleme geschaffen. Jahre später griff die Regierung Dollfuß auf diese Grundlage zurück. Ab 1933 wurde mittels Notverordnungen autoritär regiert und das Parlament zunehmend ausgeschaltet. Der vorliegende Ministerialentwurf ist selbstverständlich nicht mit der Ausschaltung des Parlaments vergleichbar. Darum geht es nicht. Das Beispiel zeigt lediglich, dass ein einmal geschaffenes Instrument nicht zwangsläufig auf seinen ursprünglichen Zweck beschränkt bleibt. Auch die COVID-19-Pandemie hat gezeigt, wie schnell in einer außergewöhnlichen Lage weitreichende Grundrechtseingriffe beschlossen werden können. Mehrere Maßnahmen wurden später vom Verfassungsgerichtshof aufgehoben oder als von der gesetzlichen Grundlage nicht gedeckt beurteilt. Die rechtsstaatliche Kontrolle funktionierte. Sie funktionierte jedoch teilweise erst, nachdem die betreffenden Eingriffe bereits stattgefunden hatten. Ein späteres Erkenntnis eines Höchstgerichtes gibt verlorene Freiheit und Lebenszeit nicht zurück. Gerade deshalb muss bei einer neuen digitalen Kontrollinfrastruktur bereits vor ihrer Einführung gefragt werden, was damit eines Tages möglich sein könnte. Verengung des Informationsraumes und ORF Ich kann mich auch des Eindrucks nicht erwehren, dass die Einschränkung offener internationaler Plattformen eine weitere politische Wirkung entfalten kann. Kinder und Jugendliche würden von großen Teilen jener Kommunikationsräume ausgeschlossen, in denen heute unterschiedliche politische, gesellschaftliche und internationale Positionen unmittelbar nebeneinander verfügbar sind. Klassische österreichische Medienangebote und insbesondere öffentlich-rechtliche Angebote bleiben dagegen ohne vergleichbare Altersverifikation zugänglich. Damit besteht zumindest die Gefahr einer Lenkung hin zu wenigen etablierten und staatlich stark regulierten Informationsquellen. Ich halte das für eine problematische Entwicklung. Eine Demokratie braucht keine Generation, die lernt, dass es eine institutionell bevorzugte Quelle der Wahrheit gibt. Sie braucht Menschen, die unterschiedliche Quellen lesen, Widersprüche erkennen, Aussagen überprüfen und auch staatliche oder öffentlich-rechtliche Medien kritisch hinterfragen. Das Konzept eines privilegierten Informationsraumes, in dem angeblich richtige Informationen verfügbar bleiben und konkurrierende Informationsräume als gefährlich oder schädlich behandelt werden, erinnert in seiner Struktur an autoritäre und kommunistische Mediensysteme. Ich behaupte nicht, dass der vorliegende Entwurf bereits ein staatliches Medienmonopol schafft. Ich vermute jedoch, dass eine Verengung des digitalen Informationsraumes politisch durchaus willkommen sein könnte. Die politische Vertrauensfrage In diesem Zusammenhang halte ich auch die politische Zusammensetzung der Bundesregierung nicht für vollkommen irrelevant. Andreas Babler erklärte am 24. Mai 2023 bei PULS 24 wörtlich „Ich bin Marxist. Ich bin marxistisch orientiert seit meiner Jugendorganisation, aber Marxist ist natürlich ein hartes Wort manchmal.“ Dass Babler diese Aussage später relativierte, nehme ich ausdrücklich zur Kenntnis. Die ursprüngliche Aussage bleibt dennoch eine bemerkenswerte politische Selbstbeschreibung eines heutigen führenden Mitglieds der Bundesregierung und eines Politikers, der sich selbst intensiv mit der Regulierung sozialer Medien beschäftigt hat. Daraus folgt nicht der Vorwurf, Andreas Babler plane ein autoritäres Überwachungssystem. Es folgt daraus aber eine legitime Vertrauensfrage. Wie soll die Bevölkerung dauerhaft darauf vertrauen, dass eine von der heutigen Regierung geschaffene Identitäts- und Zugangsinfrastruktur niemals zur Lenkung des Medienkonsums, zur Überwachung unerwünschter Meinungen oder zur politischen Klassifizierung verwendet wird. Gerade historische kommunistisch-autoritäre Systeme zeigen, wie eng Medienkontrolle, politische Bewertung und Überwachung miteinander verbunden werden können. Keine Regierung sollte deshalb Befugnisse oder technische Möglichkeiten erhalten, deren Unbedenklichkeit im Wesentlichen damit begründet wird, dass die gegenwärtig handelnden Personen versprechen, sie nicht zu missbrauchen. Der Staat und die sexuellen Interessen seiner Bürger Besonders sensibel ist die vorgesehene Altersverifikation bei pornografischen Inhalten. Sexuelle Interessen gehören zum intimsten Bereich des Privatlebens. Es geht den Staat nichts an, welcher erwachsene Bürger welche legalen pornografischen Inhalte konsumiert. Es geht den Staat nichts an, welche Plattform er besucht, wie häufig er sie besucht oder welche persönlichen Präferenzen sich aus seinem Nutzungsverhalten ableiten lassen. Gerade in diesem Bereich muss daher jeder technische Zusammenhang zwischen realer Identität und konkretem Nutzungsverhalten ausgeschlossen sein. Der Entwurf verspricht eine Trennung. Der Verifikationsanbieter soll nicht wissen, welche Plattform besucht wird. Die Plattform soll nicht wissen, wer die reale Person ist. Diese Konstruktion ist zu begrüßen. Sie muss jedoch nicht nur auf dem Papier funktionieren. Es muss technisch soweit wie möglich ausgeschlossen sein, dass IP-Adressen, Gerätekennungen, Browser-Fingerprints, Zeitstempel oder andere Metadaten nachträglich eine Verbindung ermöglichen. Dies gilt besonders dann, wenn Browser, Betriebssystem, Plattform und möglicherweise Teile der Altersverifikation vom selben Konzern betrieben werden. Ebenso muss verhindert werden, dass eine spätere Gesetzesänderung aus einer anonymen Alterskontrolle eine personenbezogene Nutzungsanalyse macht. Andernfalls stellen sich bewusst provokante Fragen. Beabsichtigt das Bundeskanzleramt künftig eine jährliche Statistik über die sexuellen Vorlieben österreichischer Pornografiekonsumenten. Wird es Rankings nach Bundesland oder Nutzungshäufigkeit geben. Wird der aktivste Konsument mit einem staatlich zertifizierten Highscore ausgezeichnet. Werden sexuelle Präferenzen eines Tages mit Beruf, politischer Orientierung, Waffenbesitz oder anderen behördlichen Datenbeständen abgeglichen. Diese Fragen sind polemisch formuliert. Das zugrunde liegende Problem ist es nicht. Gerade weil es um völlig legales Verhalten im intimsten privaten Bereich geht, darf eine Verbindung zwischen staatlich bestätigter Identität und konkretem Konsumverhalten nicht entstehen. Barrierefreiheit und Fehlentscheidungen Auch die praktische Nutzung einer solchen Altersverifikation ist nicht ausreichend geklärt. Was geschieht mit einem erwachsenen Bürger, dessen Dokument vom System nicht erkannt wird. Was geschieht mit Menschen ohne modernes Smartphone. Was geschieht mit ausländischen Dokumenten, die ein Dienst nicht zuverlässig verarbeiten kann. Was geschieht mit älteren oder technisch wenig versierten Menschen. Was geschieht mit Menschen mit Behinderungen. Was geschieht bei einer längeren technischen Störung des Verifikationssystems. Ein erwachsener Bürger darf nicht vom Zugang zu wesentlichen Informationsangeboten ausgeschlossen werden, weil ein privates technisches System seine Volljährigkeit nicht korrekt bestätigen kann. Wenn eine solche Infrastruktur eingeführt wird, müssen einfache, kostenlose und barrierefreie Alternativen bestehen. Es darf nicht notwendig werden, mit siebzig Jahren ein kompliziertes Support- oder Verwaltungsverfahren zu führen, um nachzuweisen, dass man älter als vierzehn Jahre ist. Die Vollziehung muss realistisch finanzierbar sein Ein weiterer Punkt betrifft die praktische Kontrolle des Gesetzes. Datenschutzvorgaben und technische Sicherheitsanforderungen sind nur dann etwas wert, wenn ihre Einhaltung tatsächlich überprüft werden kann. Gerade bei einer komplexen Altersverifikationsarchitektur reicht es nicht aus, dass ein Anbieter erklärt, seine Lösung sei datenschutzkonform. Es braucht technische Prüfungen, juristische Verfahren, Beschwerden, Sachverständige und laufende Aufsicht. Bemerkenswert ist, dass selbst das Bundesverwaltungsgericht im Begutachtungsverfahren bereits auf eine erhebliche zusätzliche Belastung durch zu erwartende komplexe Beschwerdeverfahren hinweist und kritisiert, dass dieser Aufwand in der Folgenabschätzung nicht entsprechend berücksichtigt wurde. Das ist kein unwesentlicher Nebenaspekt. Wenn neue regulatorische Aufgaben geschaffen werden, gleichzeitig aber Behörden und Gerichte nicht ausreichend ausgestattet sind, entstehen entweder lange Verfahren oder eine oberflächliche Kontrolle. Beides ist bei einem System problematisch, dessen Rechtfertigung wesentlich darauf beruht, dass Datenschutz und technische Trennung zuverlässig überwacht werden. Ein Datenschutzversprechen ist nur so gut wie seine tatsächliche Kontrolle. Keine manipulative Gestaltung der Altersverifikation Wenn der Gesetzgeber manipulative Plattformmechanismen regulieren möchte, muss auch die Altersverifikation selbst frei von solchen Mechanismen sein. Die Nutzer müssen klar erkennen können, welche Daten verarbeitet und welche Informationen tatsächlich übermittelt werden. Es darf keine Gestaltung entstehen, bei der die umfassendste Datenfreigabe mit einem großen und einfachen Button ermöglicht wird, während die datensparsame Variante in Untermenüs versteckt wird. Die heute bekannten Probleme vieler Cookie-Banner dürfen sich bei einem wesentlich sensibleren Altersnachweissystem nicht wiederholen. Datenschutz darf nicht nur formal vorhanden sein. Er muss für einen normalen Nutzer praktisch erreichbar sein. Transparenz über Zugriffe Sollte eine solche Infrastruktur geschaffen werden, muss der Bürger außerdem soweit technisch und rechtlich möglich nachvollziehen können, ob auf seine Verifikationsdaten oder relevante technische Daten zugegriffen wurde. Er muss erkennen können, welche Stelle dies getan hat und wann dies geschehen ist. Eine Infrastruktur, die den Bürger transparent machen kann, während die Zugriffe auf seine eigenen Daten für ihn selbst unsichtbar bleiben, wäre nicht akzeptabel. Evaluation und Befristung Eine spätere Evaluierung darf sich nicht darauf beschränken, ob Plattformen die vorgeschriebenen technischen Maßnahmen umgesetzt haben. Entscheidend ist, ob das Gesetz tatsächlich funktioniert. Zu untersuchen wären insbesondere Umgehungsraten, die Nutzung von VPN-Diensten, Account- Sharing, die Verlagerung auf andere Plattformen, die Zahl ausländischer oder kleiner Dienste, die österreichische Nutzer ausschließen, Fehlklassifizierungen von Erwachsenen, technische Ausfälle, Barrierefreiheitsprobleme, Datenschutzverletzungen und tatsächliche Schadensfälle. Ebenso muss untersucht werden, ob sich der Markt zugunsten weniger großer Plattformen konzentriert und ob bisher frei erreichbare Inhalte zunehmend hinter Logins verschwinden. Vor allem muss untersucht werden, ob sich problematische Mediennutzung bei Minderjährigen tatsächlich reduziert hat. Ein Gesetz ist nicht deshalb erfolgreich, weil Alterskontrollen eingebaut wurden. Es ist nur dann erfolgreich, wenn sich das Problem reduziert, mit dem der Eingriff gerechtfertigt wurde. Darüber hinaus halte ich eine echte Befristung der Regelung für erforderlich. Das System sollte nach einem festgelegten Zeitraum automatisch außer Kraft treten, sofern das Parlament nicht nach einer unabhängigen Evaluierung ausdrücklich seine Fortführung beschließt. Einmal geschaffene Infrastrukturen entwickeln eigene wirtschaftliche und institutionelle Interessen. Dienstleister investieren, Verträge werden geschlossen, Behörden schaffen Strukturen und technische Schnittstellen werden zum Standard. Danach wird nicht mehr die Fortführung begründet. Dann muss plötzlich die Abschaffung begründet werden. Gerade deshalb sollte die Beweislast von Anfang an umgekehrt sein. Schlussfolgerung Der Schutz von Kindern und Jugendlichen ist wichtig. Er darf aber nicht als Universalargument verwendet werden, um eine digitale Alters- und Zugangsstruktur für die gesamte Bevölkerung zu schaffen. Der Staat soll manipulative Plattformmechanismen regulieren. Er soll Plattformbetreiber in die Verantwortung nehmen. Er soll Eltern unterstützen und Medienkompetenz fördern. Er soll Kinder vor schädlichen Inhalten schützen. Er soll dafür sorgen, dass Jugendliche nicht durch psychologisch optimierte Systeme möglichst lange an einen Bildschirm gebunden werden. Was er nicht tun sollte, ist Millionen erwachsene Bürger dazu zu verpflichten, ihre Berechtigung zum Zugang zu legalen Informations- und Kommunikationsangeboten technisch nachzuweisen. Ebenso wenig sollte er durch überbordende Compliance-Anforderungen gerade jene kleinen, gemeinnützigen und internationalen Angebote vom österreichischen Markt verdrängen, die eine Alternative zu den großen Plattformkonzernen darstellen. Ein Gesetz gegen Big Tech darf nicht damit enden, dass nur Big Tech groß genug ist, um das Gesetz erfüllen zu können. Ein Gesetz für Jugendschutz darf nicht dazu führen, dass normale Internetnutzung ein Benutzerkonto, eine Wallet, ein Smartphone oder einen VPN-Dienst voraussetzt. Ein Gesetz gegen manipulative Plattformen darf nicht gleichzeitig zusätzliche Walled Gardens schaffen und die anonyme Nutzung des offenen Internets weiter zurückdrängen. Und ein Gesetz, dessen Rechtfertigung wesentlich auf Datenschutz und technischer Trennung beruht, darf nicht beschlossen werden, bevor diese Eigenschaften in der tatsächlichen technischen Umsetzung unabhängig überprüfbar sind. Ich halte die Gefahr für real, dass eine solche Infrastruktur langfristig eine Bedeutung erhält, die weit über das heute angeführte Ziel des Jugendschutzes hinausgeht. Ich vermute, dass sie faktisch als vorbereitende Maßnahme für spätere und wesentlich umfangreichere Identifizierungs- und Kontrollmöglichkeiten wirken kann. Ich behaupte ausdrücklich nicht, dass der heutige Entwurf bereits ein österreichisches Social-Scoring- System enthält. Gerade deshalb ist jetzt der richtige Zeitpunkt, darüber zu diskutieren, ob dessen technische Voraussetzungen überhaupt geschaffen werden sollen. Die entscheidende Frage ist nicht, ob die derzeitige Bundesregierung glaubhaft versichert, diese Möglichkeiten nicht missbrauchen zu wollen. Die entscheidende Frage ist, ob dieselbe Infrastruktur auch einer zukünftigen Regierung zur Verfügung stehen soll, der die heutigen Regierungsparteien selbst niemals derartige Möglichkeiten anvertrauen würden. Grundrechte dienen nicht dazu, einer guten Regierung Vertrauen entgegenzubringen. Sie dienen dazu, den Bürger auch vor einer schlechten Regierung zu schützen. Solange die Verhältnismäßigkeit, die tatsächliche Wirksamkeit, die langfristige Zweckbindung, die wirtschaftlichen Folgen für ein offenes und vielfältiges Internet, die Haftungsfrage und der technisch dauerhafte Ausschluss einer personenbezogenen Nutzungsüberwachung nicht überzeugend geklärt sind, ist der Ministerialentwurf in seiner gegenwärtigen Form abzulehnen. Mit hochachtungsvoll, Marco Mischitz