Stand: 22.07.2026. Mehrere Medien melden heute, dass sich die EU bei der sogenannten Chatkontrolle auf eine erneute Scan-Erlaubnis verständigt hat. Gemeint ist kein allgemeines Mitlesen durch Behörden. Praktisch geht es aber um eine heikle Frage: Dürfen Anbieter private Kommunikation automatisiert prüfen lassen, bevor ein Verdacht auf Kindesmissbrauch gemeldet wird?
Der Datenschutzkern ist klar. Private Nachrichten, Bilder und Cloud-Inhalte gehören zu den sensibelsten digitalen Daten, die Menschen einem Dienst anvertrauen. Wenn ein Anbieter dort Erkennungssysteme einsetzt, entsteht ein Konflikt zwischen Schutzpflicht, Vertraulichkeit und Fehlalarmrisiko. Für Unternehmen ist die Meldung deshalb mehr als ein politischer Streit über Sicherheit. Sie zeigt, wie schnell ein gut gemeinter Schutzmechanismus zur Datenfluss- und Governance-Frage wird.
Warum die neue Erlaubnis nicht wie ein normaler Filter wirkt
Laut den heute sichtbaren Berichten soll die bisherige Möglichkeit für freiwillige Scans wieder eine Grundlage bekommen. Solche Verfahren sollen bekanntes Material zu sexuellem Kindesmissbrauch erkennen oder Hinweise auf Grooming liefern. Genau hier beginnt die Datenschutzprüfung. Ein Spamfilter sortiert Werbung aus. Ein Chat-Scan greift dagegen in Kommunikation ein, die Nutzer gerade deshalb verwenden, weil sie vertraulich sein soll.
Die Europäische Kommission beschreibt den Kampf gegen sexuellen Kindesmissbrauch online als Sicherheitsziel. Der Gesetzesvorschlag aus dem Jahr 2022 macht aber ebenfalls sichtbar, warum das Thema seit Jahren umstritten ist: Es geht um Pflichten für Anbieter, um Erkennungstechniken, um Meldungen an eine zentrale Stelle und um Schutzmaßnahmen für Grundrechte. Je näher solche Systeme an private Kommunikation rücken, desto stärker muss die Prüfung werden, welche Daten verarbeitet werden und wer Ergebnisse kontrolliert.
Wo Datenschutzteams jetzt genauer hinsehen müssen
Für Anbieter und Auftragsverarbeiter sind drei Punkte entscheidend. Erstens muss klar sein, ob Inhalte, Metadaten oder nur Hashwerte geprüft werden. Zweitens braucht jedes Verfahren eine belastbare Fehlerlogik. Ein falscher Treffer kann für Betroffene massive Folgen haben, selbst wenn später kein Verdacht bleibt. Drittens muss dokumentiert werden, ob ein Scan freiwillig, vertraglich ausgelagert oder regulatorisch erzwungen ist. Davon hängen Verantwortlichkeit, Informationspflichten und Kontrollrechte ab.
Besonders schwierig wird es bei Ende-zu-Ende-Verschlüsselung. Wenn ein Dienst Nachrichten technisch nicht lesen kann, verschiebt sich die Prüfung möglicherweise auf das Gerät, vor den Versand oder in begleitende Upload-Prozesse. Das kann datenschutzrechtlich anders wirken als eine serverseitige Kontrolle, ist aber nicht automatisch harmlos. Entscheidend bleibt, ob Menschen vorhersehbar verstehen, was geprüft wird, welche Treffer gespeichert werden und welche Stellen Zugriff bekommen.
Welche Grenze Unternehmen nicht überschreiten sollten
Die wichtigste Lehre lautet: Schutzmechanismen brauchen eigene Datenschutzarchitektur. Wer sensible Kommunikation scannt, darf Ergebnisse nicht nebenbei für Moderation, Profilbildung, Produktanalyse oder Risikoscoring weiterverwenden. Auch eine gute Absicht rechtfertigt keine Zweckausweitung. Der Scan-Zweck muss eng bleiben, die Trefferkette muss nachvollziehbar sein und die Löschung nicht relevanter Daten muss technisch erzwungen werden.
Für Datenschutzbeauftragte ist die heutige EU-Einigung deshalb ein Prüfauftrag. Sie sollten nicht nur fragen, ob ein Anbieter gesetzlich scannen darf. Wichtiger ist, wie der Dienst die Prüfung begrenzt, wie Fehlalarme behandelt werden und ob Betroffene wirksame Informationen erhalten. Wenn diese Antworten fehlen, wird aus einer Scan-Erlaubnis schnell ein Vertrauensproblem.
Bildquelle: Eigene DSGVOScan-Grafik, generisches Symbolbild zu privaten Nachrichten und Scan-Erlaubnis ohne Plattformlogos oder reale Chatverläufe.
