Autor: Marc Gennat

Datenschutz-Folgenabschätzung für Hinweisgebersysteme in den Niederlanden nach zuständiger Datenschutzbehörde nicht zwingend erforderlich

Die niederländische Datenschutzbehörde (Autoriteit Persoonsgegevens, AP) hat eine Liste veröffentlicht, die eine Orientierungshilfe dahingehend bieten soll, welche Arten der Datenverarbeitung ein hohes Risiko darstellen und somit eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 der Datenschutz-Grundverordnung (DSGVO) erfordern.

Eine Datenschutz-Folgenabschätzung, ist gem. Art 35 DSGVO notwendig, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt.

Ein Hinweisgebersystem, das gemäß dem niederländischen Whistleblower-Schutzgesetz („Wet bescherming klokkenluiders“) eingerichtet wird, ist in dieser Liste weiterhin nicht aufgeführt. Daraus lässt sich schließen, dass die AP eine Datenschutz-Folgenabschätzung für ein solches Hinweisgebersystem nicht als zwingend erforderlich ansieht.

Dies bedeutet für Unternehmen und Organisationen, die ein Hinweisgebersystem nach dem niederländischen Whistleblower-Schutzgesetz einrichten möchten, dass sie nicht verpflichtet sind, eine DSFA durchzuführen.

Dennoch sollten sie stets sicherstellen, dass alle anderen Datenschutzanforderungen gemäß DSGVO erfüllt werden, um die Rechte und Freiheiten der betroffenen Personen zu schützen.

Denn dass die niederländische Datenschutzbehörde dieses Thema durchaus ernst nimmt beweist folgender Sachverhalt

So hat die AP kürzlich eine Geldstrafe von 150.000 Euro gegen  International Card Services BV (ICS) verhängt, weil das Unternehmen vor der Einführung digitaler Identifikationsverfahren keine DSFA durchgeführt hatte.

(Einzusehen hier) https://www.vpngids.nl/nieuws/ap-deelt-boete-van-150-000-euro-uit-aan-ics/

Zusätzlich gab es im Mai 2024 eine Mitteilung der AP, die verdeutlicht, dass Organisationen, die Kameras mit Gesichtserkennung verwenden möchten, so gut wie immer eine DSFA durchführen müssen.

Dies gilt auch für Unternehmen, die große Mengen personenbezogener Daten verarbeiten oder neue technologische Lösungen anwenden. Diese Anforderungen sind Teil der Bemühungen der AP, sicherzustellen, dass die Rechte und Freiheiten natürlicher Personen geschützt werden.

Tunesien hat in den letzten Monaten weitere Schritte unternommen, um den Schutz personenbezogener Daten zu stärken und sich an internationale Standards anzupassen

Stärkung der Datenschutzbehörde

Die tunesische Datenschutzbehörde, Instance Nationale de Protection des Données Personnelles, hat ihre Bemühungen intensiviert, Datenschutzverletzungen zu verhindern und die Rechte der tunesischen Bürger zu schützen. Die Behörde ist befugt, umfassende Kontrollen durchzuführen, Datenschutzverletzungen zu untersuchen und Maßnahmen zur Sicherstellung des Schutzes personenbezogener Daten zu ergreifen. Sie arbeitet nach eigener Aussage daran, die Transparenz und Effizienz ihrer Prozesse zu erhöhen,.

Initiativen und zukünftige Maßnahmen

Die tunesische Datenschutzbehörde plant, über die neue mobile Anwendung und Website den Bürgern einen besseren Zugang zu Informationen über ihre Datenschutzrechte zu ermöglichen. Diese digitalen Plattformen sollen auch die Einreichung von Beschwerden erleichtern und die allgemeine Transparenz der Datenschutzprozesse verbessern. Die mobile Anwendung soll es den Nutzern zusätzlich ermöglichen, ihre Datenschutzrechte effizienter wahrzunehmen und regelmäßig über aktuelle Entwicklungen informiert zu werden.

Internationale Zusammenarbeit

Durch die Teilnahme an der Konvention 108+ hat Tunesien Zugang zu einem breiten Netzwerk internationaler Datenschutzbehörden und kann von den Erfahrungen und Best Practices anderer Länder profitieren. Diese internationale Zusammenarbeit ist, nach eigener Aussage der tunesischen Datenschutzbehörde, ein wichtiger Faktor für die Verbesserung des Datenschutzes in Tunesien. Die Integration internationaler Datenschutzstandards soll dazu beitragen, Tunesiens rechtlichen Rahmen zu modernisieren und an globale Entwicklungen anzupassen​

Weitere Informationen finden Sie hier:
https://www.coe.int/en/web/data-protection/-/tunisia-30th-country-to-sign-convention-108-

Litauen hat ab dem 1. Juli 2024 eine bedeutende Änderung an seinen Datenschutzgesetzen vorgenommen. Diese Änderungen zielen darauf ab, die nationale Gesetzgebung an die Datenschutz-Grundverordnung (DSGVO) anzupassen und den Rahmen für den Umgang und Schutz personenbezogener Daten im Land zu verbessern.

Die rechtliche Landschaft für den Datenschutz in Litauen wird zu einem sehr großen Teil durch die Datenschutz-Grundverordnung (DSGVO) und dem Gesetz über den rechtlichen Schutz personenbezogener Daten (LPPD) geregelt:

Diese Gesetze bilden einen Rahmen für den Schutz personenbezogener Daten in Litauen und gewährleisten, dass nationale Bestimmungen mit den europäischen Datenschutzstandards übereinstimmen.

Wichtige Bestimmungen des LPPD

Das LPPD, in Verbindung mit der DSGVO, definiert dabei die Rolle und Befugnisse der staatlichen Datenschutzaufsichtsbehörde (SDPI) und des Inspektors für journalistische Ethik, einschließlich der Untersuchung von Verstößen und der Verhängung von Geldbußen.

Einige beachtenswerte Aspekte des LPPD umfassen:

• Verarbeitung von persönlichen Codes: Persönliche Codes dürfen nur unter bestimmten Bedingungen gemäß der DSGVO verarbeitet werden, wobei ihre öffentliche Offenlegung und Nutzung für Direktmarketing verboten ist.
• Mitarbeiterdaten: Arbeitgeber dürfen Daten über die Qualifikationen und beruflichen Fähigkeiten eines Bewerbers von früheren Arbeitgebern sammeln, wobei die vorherige Zustimmung des Bewerbers für aktuelle Arbeitgeber erforderlich ist.
• Videoüberwachung: Arbeitgeber müssen Mitarbeiter über Videoüberwachungsmaßnahmen informieren und Transparenz gewährleisten.
• Daten von Kindern: Die Verarbeitung von Daten von Kindern für Dienste der Informationsgesellschaft ist mit der Zustimmung des Kindes erlaubt, wenn es mindestens 14 Jahre alt ist.

Diese Bestimmungen sorgen dafür, dass der Datenschutz in verschiedenen Bereichen des öffentlichen und privaten Sektors gewahrt bleibt.

Mit den Änderungen ab dem 1. Juli 2024 verstärkt Litauen sein Engagement für den Schutz personenbezogener Daten.

Die neuen Änderungen am LPPD, umfassen dabei mehrere wesentliche Neuerungen:

• Verbesserte Beschwerdebehandlung: Maßnahmen zur Gewährleistung einer schnellen und effizienten Bearbeitung von Beschwerden und Untersuchungen, um die Rechte einer größeren Anzahl von Betroffenen zu schützen.
• Verarbeitung von Strafregisterdaten: Arbeitgeber haben die Möglichkeit, Strafregisterdaten von Mitarbeitern und Bewerbern zu verarbeiten, wobei die berechtigten Interessen der Arbeitgeber mit dem Schutz der Rechte der Betroffenen in Einklang gebracht werden.
• Veröffentlichung von Entscheidungen: Datenschutzbehörden, wie die staatliche Datenschutzaufsichtsbehörde (SDPI) und der Inspektor für journalistische Ethik, müssen ihre Entscheidungen veröffentlichen, um Transparenz und Verantwortlichkeit zu fördern.

Diese Änderungen sollen, den Schutz personenbezogener Daten zu verstärken und Litauens Gesetze mit dem breiteren europäischen Rahmen in Einklang bringen, um robuste Schutzmaßnahmen für die Privatsphäre der Einzelnen zu gewährleisten.

Introduction

The AI Act, which was passed on 21 May 2024, is the world’s first law on the regulation of artificial intelligence. It is expected that many industries will have to deal intensively with this regulation in the future.

It is planned that the AI Regulation will come into effect 20 days after its publication in the Official Journal of the European Union. Publication in the Official Journal of the European Union is scheduled for June/July 2024.

A staggered system of transitional periods will then come into effect. Initially, 6 months after coming into effect, the provisions on prohibited AI systems will apply and their use must be discontinued. 24 months after entry into force, the other provisions of the AI Regulation, such as the transparency obligations for generative AI systems, will apply. One exception is the obligations relating to high-risk AI systems, for which a transitional period of 36 months after entry into force is envisaged.

The purpose of the regulation, as stated in Art. 1 I of the AI Regulation, is to strengthen social trust in AI applications. For this reason, compliance requirements are placed on AI that are proportionate to the respective threat of interference with fundamental rights. With this risk-based approach, the AI Regulation should be able to react flexibly to future technical developments. For affected companies, the main challenges are likely to lie in the formalisation of the certification process and the implementation of the compliance management system.

II. Overview of key content

The definition of artificial intelligence contained in Art. 3 No. 1 AI Regulation, which is decisive for the material scope of application and on the basis of which the respective requirements for the development and use of AI are determined, deserves particular attention.

According to this definition, an AI system is a machine-based system that is designed to operate with varying degrees of autonomy, demonstrates adaptability after deployment and derives explicit or implicit goals from inputs to produce results such as predictions, content, recommendations or decisions that can influence physical or virtual environments.

This broad definition is further specified and limited by the recitals of the AI Regulation.Recital 12, for example, expressly clarifies that an application is not considered AI within the meaning of the standard if it is performed automatically on the basis of rules established by humans. Rather, AI requires independent reasoning: „An essential characteristic of AI is its ability to reason.“

A) Scope of application

Due to the digital nature of AI systems and the possibility of continuous further development during operation, it is sometimes difficult to draw clear boundaries with regard to the applicability of the AI Regulation.

Temporal scope of application

In terms of time, the AI Regulation aims to regulate AI throughout its entire life cycle. This means that the AI Regulation not only sets out requirements for the development of AI, but also provides for numerous obligations after it has been placed on the market, such as monitoring obligations. This is nothing new from the perspective of product liability law. The obligation to monitor the respective product after it has been placed on the market has always been an integral part of product liability law.

Personal scope of application

The personal scope of application includes both the deployer and the provider. According to Art. 3 No. 4 of the AI Regulation, the operator is the natural or legal person, public authority, agency or other body which uses an AI system under its authority, unless the AI system is used in the course of a personal, non-professional activity.

According to Art. 3 No. 3 of the AI Regulation, the provider is the natural or legal person, public authority, agency or other body which develops or has developed an AI-system or an AI-model for general purposes and places it on the market or puts it into service under its own name or trademark, regardless of whether this is done for remuneration or free of charge.

Local scope of application

According to Art. 2 I a) of the AI Regulation, the local scope of application covers providers that place an AI system or a system with a general purpose on the market or put it into operation in the Union. It also covers operators established in the Union. In addition to the establishment principle, the market place principle also applies.

The AI Regulation therefore also addresses providers and operators that are based in a third country but whose AI system operates in the Union. This is intended to prevent companies in third countries from not having to comply with the requirements of the AI Regulation.

(to be continued in Overview AI Regulation Part 2)

B) Risk-based approach of the AI Regulation

As already described in the Overview of the AI Regulation Part 1, the AI Regulation follows a risk-based approach.This means that the degree of regulation depends on the severity of the risks posed by the AI applications. In order to be able to assess which requirements need to be met, an affected organisation must first check what type of AI system is involved. AI systems are generally divided into four categories:

– According to Art. 5 I AI Regulation into AI systems for prohibited practices

– According to Art. 6 AI Regulation in high-risk systems

– According to Art. 50 of the AI Regulation into AI systems with limited risk

– According to Art. 95 of the AI Regulation in low-risk AI systems

Additional requirements are demanded for systems with a general purpose. More on this later. In order to be able to assess which requirements must be met, an affected organisation must first check what type of AI system it has.

a) Prohibited practices

Prohibited practices are listed in Art. 5 of the AI Regulation. It is assumed that the risk posed by these systems for those affected is too serious to authorise their use.For example, the placing on the market, commissioning and use of AI for subliminal manipulation outside of a person’s awareness is prohibited if this manipulation is significant and is intended to cause physical or psychological harm to that person or another person.

b) High-risk systems

The regulation of AI high-risk systems represents a large part of the AI Regulation.The European legislator has not included a precise definition of high-risk systems in the law. Instead, it aims to remain as adaptable as possible and not to set excessively narrow limits. Points of reference are therefore distributed across Art. 6 of the AI Regulation and Art. 7 of the AI Regulation. According to Art. 6 I of the AI Regulation, a high-risk system exists if it is used as a safety component for a product or is itself a product that is subject to certain EU regulations. Art. 7 I of the AI Regulation authorises the EU Commission to draw up a catalogue of life situations or applications that fall under this definition. Further use cases can be added by the EU Commission in the future. For example, AI systems that are to be used for the recruitment or selection of natural persons, in particular for placing targeted job advertisements, analysing and filtering applications and evaluating applicants, have been defined as high-risk systems.

Requirements for high-risk systems

Art. 8 et seq. AI Regulation define the compliance requirements for high-risk AI systems.The central provision here is likely to be Art. 9 of the AI Regulation, which requires the establishment of a risk management system that covers the entire life cycle of the AI. The risk analysis should take into account the risks to health, safety and fundamental rights that the AI system poses when used appropriately.

c) AI systems with limited risk

Art. 50 of the AI Regulation sets out information obligations for both operators and providers of AI systems with limited risk. The user must be informed that they are interacting with an AI in order to be able to prepare for this. According to Art. 50 I of the AI Regulation, AI systems must be designed in such a way that a normal person clearly recognises that they are interacting with an AI.

d) AI systems with minimal risk

For AI systems that neither fall under Art. 50 of the AI Regulation nor constitute a high-risk system, a code of conduct can be followed voluntarily in accordance with Art. 95 of the AI Regulation. According to the legislator, this is intended to strengthen social trust in AI applications.

e) Special provisions for AI systems for general use

For general purpose AI systems, additional obligations apply in accordance with Art. 51 et seq. AI Regulation, additional obligations apply that must be fulfilled in addition to the requirements of the respective level.

It should be noted that these additional obligations apply exclusively to providers of so-called GPAI (General Purpose Artificial Intelligence). Operators of such systems are not affected by these additional obligations. A GPAI model is an AI model that, even if it has been trained with large amounts of data using large-scale self-monitoring, has significant generality and is capable of competently performing a wide range of different tasks. This is true regardless of how the model is brought to market. It can be integrated into a variety of downstream systems or applications, with the exception of AI models that are used for research, development or prototyping purposes before being brought to market.

A well-known example of a GPAI model is currently ChatGPT. Companies that intend to use or are already using AI systems must therefore consider a number of aspects. It is strongly recommended to prepare accordingly by setting up AI compliance.

Einleitung

Die am 21.05.2024 verabschiedete KI-Verordnung (AI-Act) ist das weltweit erste Gesetz zur Regulierung von Künstlicher Intelligenz. Es wird erwartet, dass viele Branchen sich zukünftig intensiv mit dieser Verordnung auseinandersetzen müssen.

Geplant ist, dass die KI-Verordnung 20 Tage nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union in Kraft tritt. Die Veröffentlichung im Amtsblatt der Europäischen Union ist für Juni/Juli 2024 vorgesehen.

Anschließend wird ein gestaffeltes System an Übergangsfristen in Kraft treten. Zunächst werden 6 Monate nach Inkrafttreten die Vorschriften über verbotene KI-Systeme gelten, deren Nutzung eingestellt werden muss. 24 Monate nach Inkrafttreten werden die übrigen Vorgaben der KI-Verordnung, wie etwa die Transparenzpflichten für generative KI-Systeme, gelten. Eine Ausnahme bilden die Pflichten in Bezug auf Hochrisiko-KI-Systeme, für die eine Übergangsfrist von 36 Monaten nach Inkrafttreten vorgesehen ist.

Der Zweck der Verordnung ist, wie aus Art. 1 I KI-VO hervorgeht, die Stärkung des gesellschaftlichen Vertrauens in KI-Anwendungen. Aus diesem Grund werden Compliance-Anforderungen an die KI gestellt, die im Verhältnis zu den jeweiligen drohenden Grundrechtseingriffen stehen. Mit diesem risikobasierten Ansatz soll die KI-Verordnung flexibel auf zukünftige technische Entwicklungen reagieren können. Für betroffene Unternehmen dürften die Herausforderungen vor allem in der formellen Durchführung des Zertifizierungsverfahrens und der Implementierung des Compliance-Managementsystems liegen.

Überblick über wesentliche Inhalte

Ein Hauptaugenmerk verdient die in Art. 3 Nr. 1 KI-VO enthaltene Definition von Künstlicher Intelligenz, die maßgeblich für den sachlichen Anwendungsbereich ist und anhand derer die jeweiligen Anforderungen bei der Entwicklung und dem Einsatz der KI festgelegt werden.

Demnach ist ein KI-System ein maschinengestütztes System, das so konzipiert ist, dass es mit unterschiedlichem Grad an Autonomie operieren kann, nach dem Einsatz Anpassungsfähigkeit zeigt und explizite oder implizite Ziele aus den Eingaben ableitet, um Ergebnisse wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen zu erzeugen, die physische oder virtuelle Umgebungen beeinflussen können.

Diese weitreichende Definition wird durch die Erwägungsgründe der KI-Verordnung genauer spezifiziert und eingeschränkt. So wird z.B. in Erwägungsgrund 12 ausdrücklich klargestellt, dass eine Anwendung nicht als KI im Sinne der Norm angesehen wird, wenn sie auf Grundlage von Menschen aufgestellten Regeln automatisch erfolgt. Vielmehr setzt eine KI ein eigenständiges Schlussfolgern voraus: „Ein wesentliches Merkmal von KI ist ihre Fähigkeit, abzuleiten.“

A) Anwendungsbereich

Aufgrund der digitalen Natur von KI-Systemen und der Möglichkeit der fortwährenden Weiterentwicklung während des Betriebs, ist das Ziehen von eindeutigen Grenzen hinsichtlich der Anwendbarkeit der KI-VO mitunter schwierig.

Zeitlicher Anwendungsbereich

In zeitlicher Hinsicht verfolgt die KI-VO das Ziel, KI während ihres gesamten Lebenszyklus zu regulieren. Dies bedeutet, dass die KI-VO nicht nur Anforderungen an die Entwicklung von KI aufstellt, sondern auch zahlreiche Pflichten nach dem Inverkehrbringen, beispielsweise Überwachungspflichten, vorsieht. Dies ist aus dem Blickwinkel des Produkthaftungsrechts nichts Neues. Die Pflicht, das jeweilige Produkt nach dem Inverkehrbringen zu überwachen, ist seit jeher ein fester Bestandteil des Produkthaftungsrechts.

Persönlicher Anwendungsbereich

Der persönliche Anwendungsbereich umfasst sowohl die Betreiber (Deployer) als auch die Anbieter (Provider). Gemäß Art. 3 Nr. 4 KI-VO ist der Betreiber die natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System unter ihrer Aufsicht einsetzt, es sei denn, das KI-System wird im Rahmen einer persönlichen, nicht beruflichen Tätigkeit verwendet.

Gemäß Art. 3 Nr. 3 KI-VO ist der Anbieter die natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein KI-System oder ein KI-Modell für allgemeine Zwecke entwickelt oder entwickeln lässt und es unter ihrem eigenen Namen oder ihrer eigenen Marke in Verkehr bringt oder in Betrieb nimmt, unabhängig davon, ob dies entgeltlich oder unentgeltlich geschieht.

Örtlicher Anwendungsbereich

Der örtliche Anwendungsbereich erfasst gemäß Art. 2 I a) KI-VO Anbieter, die in der Union ein KI-System oder ein System mit allgemeinem Verwendungszweck in den Verkehr bringen oder es dort in Betrieb nehmen. Außerdem umfasst er Betreiber, die ihren Sitz in der Union haben. Neben dem Niederlassungsprinzip findet auch das Marktortsprinzip Anwendung.

Die KI-VO adressiert also auch Anbieter und Betreiber, die ihren Sitz in einem Drittstaat haben, deren KI-System aber in der Union wirkt. So soll verhindert werden, dass Unternehmen in Drittstaaten die Anforderungen der KI-VO nicht beachten müssen.

(wird in Überblick KI-Verordnung Teil 2 fortgeführt)

B) Risikobasierter Ansatz der KI-Verordnung

Die KI-VO verfolgt, wie im Überblick KI-Verordnung Teil 1 bereits beschrieben, einen risikobasierten Ansatz. Dies bedeutet, dass der Grad der Regulierung von der Schwere der Risiken, die von den KI-Anwendungen ausgehen, abhängt. Um einschätzen zu können, welche Anforderungen zu erfüllen sind, muss eine betroffene Organisation zunächst prüfen, welche Art von KI-System vorliegt. Generell werden KI-Systeme in vier Kategorien unterteilt:

• Nach Art. 5 I KI-VO in KI-Systeme für verbotene Praktiken
• Nach Art. 6 KI-VO in Hochrisiko-Systeme
• Nach Art. 50 KI-VO in KI-Systeme mit beschränktem Risiko
• Nach Art. 95 KI-VO in KI-Systeme mit geringem Risiko

Zusätzliche Voraussetzungen werden für Systeme mit allgemeinem Verwendungszweck gefordert. Dazu später mehr. Um einschätzen zu können, welche Anforderungen zu erfüllen sind, muss eine betroffene Organisation zunächst prüfen, welche Art von KI-System vorliegt.

a) Verbotene Praktiken

Verbotene Praktiken werden in Art. 5 KI-VO aufgezählt. Es wird davon ausgegangen, dass die von diesen Systemen ausgehende Gefahr für die Betroffenen zu gravierend ist, um eine Nutzung zu genehmigen. So ist z.B. das Inverkehrbringen, die Inbetriebnahme sowie die Verwendung von KI zur unterschwelligen Beeinflussung außerhalb des Bewusstseins eines Menschen verboten, wenn diese Beeinflussung wesentlich ist und darauf abzielt, dieser oder einer anderen Person physischen oder psychischen Schaden zuzufügen.

b) Hochrisikosysteme

Die Regelung von KI-Hochrisikosystemen stellt einen Großteil der KI-Verordnung dar. Eine genaue Definition für Hochrisikosysteme hat der europäische Gesetzgeber nicht in das Gesetz eingefügt. Er setzt vielmehr darauf, hier möglichst anpassungsfähig zu bleiben und keine zu engen Grenzen zu setzen. Anknüpfungspunkte sind daher auf Art. 6 KI-VO und Art. 7 KI-VO verteilt. Gemäß Art. 6 I KI-VO liegt ein Hochrisikosystem vor, wenn es als Sicherheitskomponente für ein Produkt verwendet wird oder selbst ein Produkt ist, das bestimmten EU-Regulierungen unterliegt. In Art. 7 I KI-VO wird die EU-Kommission dazu ermächtigt, einen Katalog von Lebenssachverhalten bzw. Anwendungen zu erstellen, die unter diese Definition fallen. Weitere Anwendungsfälle können von der EU-Kommission zukünftig hinzugefügt werden. So wurden z.B. als Hochrisikosysteme KI-Systeme bestimmt, die für die Einstellung oder Auswahl natürlicher Personen verwendet werden sollen, insbesondere zur Schaltung gezielter Stellenanzeigen, zur Analyse und Filterung von Bewerbungen und zur Bewertung von Bewerbern.

Anforderungen an Hochrisikosysteme

In den Art. 8 ff. KI-VO werden die Compliance-Voraussetzungen für Hochrisiko-KI-Systeme definiert. Zentrale Vorschrift dürfte hier der Art. 9 KI-VO sein, die zur Einrichtung eines Risikomanagementsystems verpflichtet, das den gesamten Lebenszyklus der KI umfasst. Die Risikoanalyse soll hierbei die Gefahren im Hinblick auf Gesundheit, Sicherheit und Grundrechte berücksichtigen, die das KI-System bei einer zweckgemäßen Verwendung mit sich bringt.

c) KI-Systeme mit beschränktem Risiko

Sowohl für Betreiber als auch Anbieter von KI-Systemen mit beschränktem Risiko statuiert Art. 50 KI-VO Informationspflichten. Der Nutzer muss darüber aufgeklärt werden, dass er mit einer KI interagiert, um sich darauf vorbereiten zu können. So müssen KI-Systeme nach Art. 50 I KI-VO derart gestaltet werden, dass eine normale Person eindeutig erkennt, dass sie mit einer KI interagiert.

d) KI-Systeme mit minimalem Risiko

Für KI-Systeme, die weder unter Art. 50 KI-VO fallen noch ein Hochrisikosystem darstellen, kann gemäß Art. 95 KI-VO freiwillig ein Verhaltenskodex befolgt werden. Dies soll nach Aussage des Gesetzgebers dazu dienen, das gesellschaftliche Vertrauen in KI-Anwendungen zu stärken.

e) Sonderbestimmungen für KI-Systeme mit allgemeinem Verwendungszweck

Für KI-Systeme mit allgemeinem Verwendungszweck gelten gemäß Art. 51 ff. KI-VO zusätzliche Pflichten, die neben den Anforderungen der jeweiligen Stufe erfüllt werden müssen.

Es ist zu beachten, dass diese zusätzlichen Pflichten ausschließlich für Anbieter von sogenannten GPAI (General Purpose Artificial Intelligence) gelten. Betreiber solcher Systeme sind von diesen zusätzlichen Pflichten nicht betroffen.

Ein GPAI-Modell ist ein KI-Modell, das, selbst wenn es mit großen Datenmengen unter Verwendung von Selbstüberwachung in großem Maßstab trainiert wurde, eine erhebliche Allgemeinheit aufweist und in der Lage ist, eine breite Palette unterschiedlicher Aufgaben kompetent zu erfüllen. Dies gilt unabhängig davon, wie das Modell auf den Markt gebracht wird. Es kann in eine Vielzahl von nachgelagerten Systemen oder Anwendungen integriert werden, mit Ausnahme von KI-Modellen, die für Forschungs-, Entwicklungs- oder Prototyping-Zwecke verwendet werden, bevor sie auf den Markt gebracht werden.

Ein bekanntes Beispiel für ein GPAI-Modell ist derzeit ChatGPT.

Unternehmen, die beabsichtigen, KI-Systeme einzusetzen oder bereits einsetzen, müssen daher eine Reihe von Aspekten berücksichtigen. Es wird dringend empfohlen, sich durch die Einrichtung einer KI-Compliance sich entsprechend vorzubereiten.

Viele werden nicht müde darauf hinzuweisen, dass ein immaterieller Schaden auch nach der DSGVO ersatzfähig sein kann. Aus diesen Sätzen liest man mittlerweile teilweise doch sehr überraschende Schlussfolgerungen, die den Eindruck erwecken, dass bereits ein Unwohlsein wegen eines Verstoßes gegen die DSGVO automatisch zu einem Schadensersatzanspruch führt.

Das Zauberwort in dieser Hinsicht, das viele zu übersehen scheinen, ist das Wort kann. Vor diesem Hintergrund ist allein die Feststellung, dass auch immaterieller Schaden ersatzfähig sein kann, weder neu noch sonderlich bahnbrechend. Im deutschen Recht gibt es diese Möglichkeit bereits seit Jahrzehnten und ist in Art. 82 I DSGVO explizit geregelt.

Derzeitiger Status Quo der Rechtsprechung zum Schadensersatz aus der DSGVO.

Mit der Entscheidung in der Rs. C-300/21 positionierte sich der EuGH erstmals zu den Voraussetzungen des datenschutzrechtlichen Schadensersatzanspruches nach Art. 82 DSGVO.

Der EuGH stellte hier fest, dass ein bloßer Verstoß gegen die DSGVO keinen Schadensersatzanspruch begründet – erforderlich ist ein konkreter Schaden, der kausal auf einem Datenschutzverstoß beruht. Der DSGVO-Schadensersatz hat keine Straffunktion und kann nur zum Ausgleich von individuellen Schäden herangezogen werden. Anders als z.B. im amerikanischen Recht.

Der BGH folgt offenbar der gleichen Ansicht. In seinem Beschluss vom 12.12.2023 (Az. VI ZR 277/22) betont er das die als Schaden geltend gemachten negativen Folgen eines Datenschutzverstoßes der Anspruchsteller konkret benennen muss. Das Einfügen von Textbausteinen scheint hierzu nicht ausreichend.

Es ist also notwendig, dass ein Nachweis eines konkreten Schadens erfolgt und auch dargelegt werden muss, wer für diesen Schaden verantwortlich ist.

Wer muss aber nun was beweisen?

Die Faustregel im deutschen Zivilrecht lautet dazu generell:

Der Anspruchssteller trägt die Beweislast für die rechtsbegründenden Tatbestandsmerkmale, der Anspruchsgegner für die rechtshindernden, rechtsvernichtenden und rechtshemmenden Merkmale.

Vereinfacht ausgedrückt gesagt, muss der Kläger beweisen, dass sein Anspruch besteht. Der Verteidiger muss beweisen, dass der Anspruch nicht besteht.

Was den Schaden betrifft, hat der EuGH bereits klargestellt, dass Anspruchssteller einen solchen, auch in der DSGVO, nach den oben beschriebenen Regeln nachzuweisen hat.

Auch für die Kausalität zwischen Verstoß und Schaden besteht Einigkeit, dass der Kläger die Beweislast trägt.

Wer die Beweislast für den Verstoß selbst gegen die DSGVO trägt, ist jedoch sehr umstritten.

Grund hierfür ist die in Art. 5 II DSGVO geregelte Rechenschaftspflicht. Danach ist der Verantwortliche für die Einhaltung der in Art. 5 I DSGVO genannte Datenschutzgrundsätze verpflichtet, die der Verantwortliche auch nachweisen können muss.

Viele argumentieren nun, dass hieraus eine generelle Beweispflicht des Verantwortlichen entsteht, da die Einhaltung der DSGVO in seinen Pflichtenkreis gehört.

Nach dem Grundsatz der Verfahrensautonomie ist es Sache der Mitgliedsstaaten, die verfahrensrechtliche Modalität der Rechtsbehelfe zu regeln. Daher sind die Beweisregeln des jeweiligen nationalen Prozessrechtes anzuwenden. Die in Art. 5 II DSGVO normierte Rechenschaftspflicht gilt eben nur gegenüber Datenschutzaufsichtsbehörden, denen es nach Art. 58 I a DSGVO gestattet ist, den Verantwortlichen zur Bereitstellung von Informationen anzuweisen.

Die Rechenschaftspflicht begründet also „nur“ eine Pflicht außerhalb des Prozesses, nicht aber eine zivilrechtlich bindende Beweislastregel. Dies schon deshalb, weil niemand eine Pflicht hat, sich im Prozess zu verteidigen und vorzutragen. Schon der Wortlaut der Norm zeigt also, dass hier nicht die Prozesssituation gemeint sein kann.

Data Act

Seit dem Februar 2022 liegt der Entwurf des Data Acts vor. Dieser wurde im Juli 2023 in einer informellen Fassung, im Trilog widerspiegelt (14.07.2023, Interinstitutioneller File Nr.2022/0047 COD). Der Data Act versucht mit einheitlichen Vorschriften einen fairen Zugang zu Daten und deren Nutzung in Form einer EU-Verordnung zu regeln. Er enthält weitreichende Regelungen für die privatwirtschaftliche Datennutzung. Der Fokus des Data Acts, wurde dabei auf Maschinendaten und Industriedaten gelegt. Deren wirtschaftliche Nutzung soll dabei durch die entstehende Rechtssicherheit erleichtert werden. Es werden aber auch personenbezogene Daten erfasst, z.B. etwa die Nutzungsdaten in einer jeden von Endverbrauchern verwendeten App.

Ein Ziel ist durch den Abbau technischer Hindernisse den Weg zu einer interoperablen und agilen Datenwirtschaft zu ermöglichen.

Damit versucht die EU erstmals direkt die Regulierung des eigentlichen Datengeschäfts. Zuvor waren Vorgaben häufig lediglich auf Spezialbereiche beschränkt oder zielten direkt auf richtungsgebende Organisationen, wie z.B. Microsoft, Meta, Amazon oder Google ab. Dazu kommen Regelungen zur Missbrauchskontrolle von Verträgen über die Datennutzung, die mit anderen Unternehmen abgeschlossen werden, Datenübermittlung in Drittstaaten, Pflichten zur Daten-Portabilität und vieles mehr. Der Data Act ist damit nicht mit dem Data Governance Act zu verwechseln (hierzu mehr im nachfolgenden Absatz). Dieser beschäftigt sich hauptsächlich mit der Weiterverarbeitung von Daten der öffentlichen Hand, dem allgemeinen Rechtsrahmen für Datenvermittlungsdienste und nicht-kommerziellen Verarbeitungsformen.

 

Data Governance Act

Der Data Governance Act ist im Juni 2022 in Kraft getreten und gilt seit September 2023.

Wichtig ist hierbei, dass er als EU-Verordnung unmittelbar in jedem Mitgliedstaat gilt, ohne dass es einer vorherigen Umsetzung in das nationale Recht bedarf. Dabei erhofft sich die EU-Kommission große Ziele. Der Data Governance Act soll die bestehenden Hemmnisse für eine gut funktionierende Datenwirtschaft abbauen und einen EU-weiten Rechtsrahmen für den Zugang zu Daten und deren Verwendung schaffen. Dies möchte der Data Governance Act dadurch bewerkstelligen, dass er eine Art rechtliche Anleitung für den Aufbau einer Infrastruktur für den Datenmarkt zur Verfügung stellt. Anbieter sog. „Datenvermittlungsdienste“ sollen als Mittler zwischen Dateninhabern und Datennutzer das Teilen und die Nutzung der Daten fördern. Diese dürfen innerhalb der EU danach aber nur tätig werden, wenn sie bestimmte formelle und materielle Voraussetzungen erfüllen und sich dementsprechend registrieren.

Befinden sich Daten im Besitz öffentlicher Stellen, sollen diese möglichst breit und diskriminierungsfrei der Öffentlichkeit zur Verfügung stehen. Darüber hinaus soll dieser mehr Vertrauen in den „Datenaltruismus“ geschaffen werden: Dafür wird die EU-Kommission auch ein Musterformular für eine Einwilligung bereitstellen.

Der Data Act, der Data Governance Act und der Datenschutz

All diese Daten, die über die Vorgaben in dem Data Act und dem Data Governance Act reguliert werden, können auch personenbezogene Daten i.S.d des Art 4 Nr.1 DSGVO darstellen. Beide Vorschriften gelten für nicht-personenbezogene Daten und personenbezogene Daten gleichermaßen.

Und dennoch lassen beide Rechtsakte nach ihrem jeweiligen Art 1 III die DSGVO angeblich „unberührt“:

Art 1 III Data Act regelt, dass für personenbezogene Daten, die im Zusammenhang mit den Vorgaben des DA verarbeitet werden, die Rechtsvorschriften der Union und der Mitgliedstaaten über den Schutz personenbezogener Daten gelten. Die DSGVO bleibt unberührt, im Falle eines Widerspruches zwischen DSGVO und DA soll die DSGVO Vorrang haben.

Art 1 III DGA regelt dies ähnlich: Die DSGVO gilt für alle personenbezogenen Daten und der Data Governance Act gilt „unbeschadet“ der DSGVO. Im Fall eines Konfliktes soll die DSGVO ebenfalls Vorrang genießen. Beide Rechtsakte stellen zudem klar, dass sie keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten darstellen, der Data Governance Act und Art 1 II a.E, der Data Act in Erwägungsgrund 7.

Ob allerdings diese Vorschriften derart unbeschadet von der DSGVO gelten wird wohl lediglich die Zukunft zeigen.

Unabhängig jedoch von aller möglichen Kritik im Detail können beide Vorschriften bereits als Meilenstein angesehen werden. Denn insbesondere der Data Act wird quasi jede Person, die ein IoT-Gerät produziert oder ein Cloudservice anbietet bzw. solch einen Dienst nutzt (ob nun gewerblich oder privat) betreffen. Eine genauere Reglung ist bei Betrachtung der gesellschaftlichen Dimensionen der Datennutzung und Datenerhebung heutzutage eigentlich unabdingbar.

Die Angst vor Datenmissbrauch kann einen Schaden darstellen.

Nach dem Urteil des EuGH vom 14.12.2023 kann allein die Angst vor den Folgen eines Datenmissbrauchs einen immateriellen Schaden darstellen.
Ausgangsfall war, dass im Juli 2019 die bulgarischen Medien die Nachricht veröffentlichten, dass ein Unbefugter Zugang zu dem Netzwerk der nationalen Agentur für Einnahmen, Bulgarien (kurz: NAP) erlangt hat und dadurch verschiedene Steuer- und Sozialversicherungsdaten von Millionen von Menschen im Internet veröffentlichen konnte.
Eine Betroffene, deren personenbezogene Daten offenbart wurden, verklagte die NAP auf Ersatz ihres immateriellen Schadens, weil sie einen Missbrauch ihrer Daten durch Dritte befürchtete. Unter anderem befürchtete Sie eine Entführung.

Ein immaterieller Schaden kann dem EuGH zufolge auch durch die Befürchtung, die Daten könnten missbräuchlich verwendet werden, entstehen.
Der Gerichtshof hob jedoch hervor, dass die betroffene Person weiterhin das Vorliegen eines immateriellen Schadens i.S.v. Art. 82 DSGVO nachweisen muss.
Der EuGH zeigt in diesem Zusammenhang auch auf das die Tatsache, dass ein erfolgreicher Cyberangriff nicht automatisch bedeutet, dass die Schutzmaßnahmen des Verantwortlichen auch ungeeignet oder unzureichend waren. Allerdings muss der Verantwortliche darlegen und beweisen, dass die getroffenen Maßnahmen zur Abwehr von Hackerangriffen geeignet waren. Es liege dann an den nationalen Gerichten, die Eignung oder Nichteignung zu beurteilen.

Wir werden die Entwicklung natürlich für Sie im Auge behalten.