Tag: 18. März 2024

Das EU-Parlament hat einen wegweisenden Schritt getan, indem es den „AI-Act“ genehmigt hat, der klare Richtlinien für den Einsatz von Künstlicher Intelligenz in der Europäischen Union festlegt. Diese Entscheidung markiert einen Meilenstein in der weltweiten Regulierung von KI-Technologien und soll das Vertrauen in die europäische KI-Branche stärken sowie ihre Wettbewerbsfähigkeit auf globaler Ebene erhöhen.

Ein herausragendes Merkmal des „AI-Act“ ist die Einführung des „Made in EU“-Siegel, das darauf abzielt, das Vertrauen in die europäische KI-Branche zu stärken und ihre Wettbewerbsfähigkeit auf globaler Ebene zu erhöhen. Durch die Betonung auf Gründlichkeit und Qualität bei der Umsetzung von KI-Systemen soll die europäische KI-Branche als eine Quelle für zuverlässige und ethisch verantwortungsvolle Innovationen positioniert werden.

Das Gesetz klassifiziert KI-Systeme in verschiedene Risikogruppen, wobei je nach potenziellen Gefahren unterschiedliche Regulierungsanforderungen gelten. Von geringem oder minimalem Risiko bis hin zu Hochrisiko-KI-Systemen werden entsprechende Maßnahmen zur Risikominderung und -kontrolle festgelegt, um eine sichere Anwendung zu gewährleisten.

Ein weiterer wichtiger Schritt ist das Verbot bestimmter KI-Anwendungen wie soziales Scoring und Gesichtserkennung im öffentlichen Raum, die im Widerspruch zu den grundlegenden Werten der EU stehen. Diese Maßnahme zielt darauf ab, die Privatsphäre und die individuellen Rechte der Bürgerinnen und Bürger zu schützen und eine Überwachung ähnlich wie in China zu verhindern.

Dennoch gibt es Ausnahmen für Sicherheitsbehörden, die Gesichtserkennung zur Verfolgung bestimmter schwerwiegender Straftaten wie Menschenhandel oder Terrorismus nutzen dürfen. Diese Ausnahmen sind jedoch eng definiert und unterliegen strengen Regeln.

Das „AI-Act“ ist ein wichtiger Schritt für die EU, um den verantwortungsvollen und ethischen Einsatz von Künstlicher Intelligenz zu fördern und gleichzeitig potenzielle Risiken zu adressieren. Wir bleiben gespannt auf die weitere Entwicklung und Auswirkungen dieses wegweisenden Gesetzes.

 

Die EU-Mitgliedstatten sind nun doch noch zu einer Einigung gekommen, was die EU-Lieferkettenrichtlinie betrifft.

Insbesondere nachdem Deutschland die Zustimmung zunächst verweigert hatte, wurde das Thema nun überarbeitet. Inhaltlich wurde das Gesetz nun durch Grenzanhebungen deutlich abgeschwächt. Ziel war es, durch die Abschwächung die Länder zur Zustimmung zu bewegen, die sich bisher enthalten haben.

In der ursprünglichen Gesetzesfassung sollte die EU-Lieferkettenrichtlinie bereits für Unternehmen ab 500 Beschäftigten und einem Jahresumsatz ab 150 Millionen Euro gelten. Dies hätte zur Folge gehabt, dass von der Richtlinie weitaus mehr Unternehmen betroffen wären, als vom national geltenden Lieferkettengesetz.

Im Rahmen der Überarbeitung des Gesetzes wurden nun neue Grenzen festgelegt, die im Vergleich zur Ursprungsfassung deutlich höher liegen.

Die EU-Lieferkettenrichtlinie soll nun für Unternehmen ab 1000 Beschäftigten sowie einem Jahresumsatz ab 450 Millionen Euro gelten.

Auch an den Übergangsfristen wurde gearbeitet:

Unternehmen die ab 1000 Beschäftigte haben und einen Umsatz von 450 Millionen Euro generieren, haben fünf Jahre Zeit, die entsprechenden Maßnahmen umzusetzen.

Unternehmen mit einer Beschäftigtenzahl ab 4000 Mitarbeitern und einem generierten Umsatz von 900 Millionen Euro, haben vier Jahre Übergangszeit.

Hat ein Unternehmen 5000 Mitarbeiter oder mehr und generiert 1,5 Milliarden Umsatz (oder mehr), gilt eine Übergangsfrist von drei Jahren.

Experten schätzen, dass durch diese Anhebungen ca. 70% weniger Unternehmen betroffen sind, als noch von der alten Fassung.

Die Anhebung der Grenzen ist jedoch nicht die einzige Verschärfung. Auch die zuvor festgelegten Risikosektoren wurden gänzlich herausgestrichen. Darunter wurden solche Wirtschaftsbereiche verstanden, die aufgrund ihres Tätigkeitsfeldes ein besonders hohes Risiko für Menschenrechtsverletzungen innehaben. Auch dieser Faktor findet sich in der neuen Gesetzesversion nicht mehr wieder.

 

 

Die NIS2-Richtlinie der Europäischen Union stellt eine erweiterte Initiative dar, um die Sicherheit von Netz- und Informationssystemen innerhalb des Binnenmarktes zu stärken. Während die Richtlinie direkt bestimmte Organisationen betrifft, entfaltet sie ihre Wirkung zunehmend auch auf Unternehmen, die nicht unmittelbar unter ihre Bestimmungen fallen. Ein entscheidender Mechanismus dieser indirekten Wirkung liegt im Business-to-Business (B2B)-Sektor, wo Kunden die Einhaltung der NIS2-Standards von ihren Lieferanten und Dienstleistern verlangen können.

Kundenforderungen als Treiber für Sicherheitsmaßnahmen

Im B2B-Kontext haben Sicherheit und Zuverlässigkeit oberste Priorität. Unternehmen, die direkt unter die NIS2-Richtlinie fallen, müssen sicherstellen, dass ihre Netz- und Informationssysteme den höchsten Sicherheitsstandards entsprechen. Diese Anforderung überträgt sich auf ihre Zulieferer und Dienstleister, da jede Schwachstelle in der Lieferkette potenziell die Sicherheit und Verfügbarkeit der Dienste gefährdet. Infolgedessen können diese Unternehmen von ihren B2B-Kunden verlangen, dass auch sie die NIS2-Standards erfüllen, um das Risiko von Sicherheitsvorfällen zu minimieren und die Kontinuität der Geschäftsprozesse zu gewährleisten.

Die Umsetzung als Notwendigkeit

Die Forderung nach Einhaltung der NIS2-Richtlinie durch B2B-Kunden macht die Umsetzung der entsprechenden Sicherheitsmaßnahmen für Zulieferer und Dienstleister praktisch zu einer Notwendigkeit. Dies gilt insbesondere für Unternehmen, die in kritischen Sektoren tätig sind oder essentielle Dienste anbieten, wo die Auswirkungen von Sicherheitsvorfällen besonders gravierend sein können. Die Einhaltung der NIS2-Standards wird somit zu einem entscheidenden Faktor für die Aufrechterhaltung bestehender Geschäftsbeziehungen und die Sicherung neuer Aufträge.

Die Anforderungen der NIS2-Richtlinie setzen neue Standards für die Sicherheit von Netz- und Informationssystemen in der EU. Für Unternehmen, die nicht direkt unter diese Richtlinie fallen, kann die Einhaltung dennoch zur Notwendigkeit werden – insbesondere wenn B2B-Kunden dies verlangen. Die Umsetzung der NIS2-Standards bietet nicht nur Schutz vor Sicherheitsrisiken, sondern dient auch der Stärkung der Marktposition und der Sicherung der Geschäftskontinuität.

Viele werden nicht müde darauf hinzuweisen, dass ein immaterieller Schaden auch nach der DSGVO ersatzfähig sein kann. Aus diesen Sätzen liest man mittlerweile teilweise doch sehr überraschende Schlussfolgerungen, die den Eindruck erwecken, dass bereits ein Unwohlsein wegen eines Verstoßes gegen die DSGVO automatisch zu einem Schadensersatzanspruch führt.

Das Zauberwort in dieser Hinsicht, das viele zu übersehen scheinen, ist das Wort kann. Vor diesem Hintergrund ist allein die Feststellung, dass auch immaterieller Schaden ersatzfähig sein kann, weder neu noch sonderlich bahnbrechend. Im deutschen Recht gibt es diese Möglichkeit bereits seit Jahrzehnten und ist in Art. 82 I DSGVO explizit geregelt.

Derzeitiger Status Quo der Rechtsprechung zum Schadensersatz aus der DSGVO.

Mit der Entscheidung in der Rs. C-300/21 positionierte sich der EuGH erstmals zu den Voraussetzungen des datenschutzrechtlichen Schadensersatzanspruches nach Art. 82 DSGVO.

Der EuGH stellte hier fest, dass ein bloßer Verstoß gegen die DSGVO keinen Schadensersatzanspruch begründet – erforderlich ist ein konkreter Schaden, der kausal auf einem Datenschutzverstoß beruht. Der DSGVO-Schadensersatz hat keine Straffunktion und kann nur zum Ausgleich von individuellen Schäden herangezogen werden. Anders als z.B. im amerikanischen Recht.

Der BGH folgt offenbar der gleichen Ansicht. In seinem Beschluss vom 12.12.2023 (Az. VI ZR 277/22) betont er das die als Schaden geltend gemachten negativen Folgen eines Datenschutzverstoßes der Anspruchsteller konkret benennen muss. Das Einfügen von Textbausteinen scheint hierzu nicht ausreichend.

Es ist also notwendig, dass ein Nachweis eines konkreten Schadens erfolgt und auch dargelegt werden muss, wer für diesen Schaden verantwortlich ist.

Wer muss aber nun was beweisen?

Die Faustregel im deutschen Zivilrecht lautet dazu generell:

Der Anspruchssteller trägt die Beweislast für die rechtsbegründenden Tatbestandsmerkmale, der Anspruchsgegner für die rechtshindernden, rechtsvernichtenden und rechtshemmenden Merkmale.

Vereinfacht ausgedrückt gesagt, muss der Kläger beweisen, dass sein Anspruch besteht. Der Verteidiger muss beweisen, dass der Anspruch nicht besteht.

Was den Schaden betrifft, hat der EuGH bereits klargestellt, dass Anspruchssteller einen solchen, auch in der DSGVO, nach den oben beschriebenen Regeln nachzuweisen hat.

Auch für die Kausalität zwischen Verstoß und Schaden besteht Einigkeit, dass der Kläger die Beweislast trägt.

Wer die Beweislast für den Verstoß selbst gegen die DSGVO trägt, ist jedoch sehr umstritten.

Grund hierfür ist die in Art. 5 II DSGVO geregelte Rechenschaftspflicht. Danach ist der Verantwortliche für die Einhaltung der in Art. 5 I DSGVO genannte Datenschutzgrundsätze verpflichtet, die der Verantwortliche auch nachweisen können muss.

Viele argumentieren nun, dass hieraus eine generelle Beweispflicht des Verantwortlichen entsteht, da die Einhaltung der DSGVO in seinen Pflichtenkreis gehört.

Nach dem Grundsatz der Verfahrensautonomie ist es Sache der Mitgliedsstaaten, die verfahrensrechtliche Modalität der Rechtsbehelfe zu regeln. Daher sind die Beweisregeln des jeweiligen nationalen Prozessrechtes anzuwenden. Die in Art. 5 II DSGVO normierte Rechenschaftspflicht gilt eben nur gegenüber Datenschutzaufsichtsbehörden, denen es nach Art. 58 I a DSGVO gestattet ist, den Verantwortlichen zur Bereitstellung von Informationen anzuweisen.

Die Rechenschaftspflicht begründet also „nur“ eine Pflicht außerhalb des Prozesses, nicht aber eine zivilrechtlich bindende Beweislastregel. Dies schon deshalb, weil niemand eine Pflicht hat, sich im Prozess zu verteidigen und vorzutragen. Schon der Wortlaut der Norm zeigt also, dass hier nicht die Prozesssituation gemeint sein kann.

Eine Ransomware-Attacke hat den deutschen Hörgerätehersteller Kind, mit Sitz in Großburgwedel, schwer getroffen, wodurch die Lieferkette zu Hunderten von Filialen deutschlandweit unterbrochen wurde. Der Cyberangriff, der am 6. Februar stattfand, hat die IT-Infrastruktur des Unternehmens stark beeinträchtigt, was zu erheblichen Betriebsstörungen führte. Trotz der unmittelbaren Reaktion des Unternehmens, die betroffenen Systeme zu isolieren, und der laufenden Bemühungen, den Schaden zu beheben, bleibt die Wiederherstellung der vollen Arbeitsfähigkeit eine Herausforderung.

Die Unternehmensgruppe, die seit 1952 besteht und mittlerweile auch in anderen Geschäftsfeldern wie Augenoptik und Arbeitsschutzkleidung tätig ist, beschäftigt über 3.500 Mitarbeiter und betreibt mehr als 700 Fachgeschäfte. Der Angriff hat nicht nur interne Prozesse gestört, sondern auch direkte Auswirkungen auf etwa 3.000 Mitarbeiter und den Service in rund 600 Geschäften in Deutschland, Österreich, der Schweiz und Luxemburg. Derzeit sind keine Lieferungen an diese Geschäfte möglich, was die Geschäftstätigkeit erheblich beeinträchtigt, obwohl die Filialen geöffnet bleiben und Kundenberatung weiterhin möglich ist.

Kritische Stimmen, wie die des IT-Experten Günter Born, hinterfragen die Einschätzung des Unternehmens bezüglich der Schadensbegrenzung, da der Betrieb immer noch nicht vollständig wiederhergestellt ist und Mitarbeiter in einigen Bereichen auf manuelle Arbeitsmethoden zurückgreifen müssen.

Dieser Vorfall unterstreicht die zunehmende Bedrohung durch Cyberkriminalität für Unternehmen in Deutschland, wie jüngste Angriffe auf andere bedeutende Firmen zeigen. Die Ermittlungen laufen, während Kind daran arbeitet, die Sicherheit zu erhöhen und die vollständige Betriebsfähigkeit wiederherzustellen.

Weitere Informationen finden Sie hier:
https://www.golem.de/news/keine-neuen-hoergeraete-kind-gruppe-kann-nach-cyberangriff-filialen-nicht-beliefern-2402-182251.html?utm_source=newsletter&utm_medium=email&utm_campaign=ohn